[국내보안뉴스] 워드프레스 ‘Click2Shell’ 고위험 취약점 발견… 관리자 클릭 한 번에 서버 제어권 노출 위험
· 2026-09-22 14:02
· 조회 23
· 원문 ↗
전 세계적으로 가장 많이 활용되는 콘텐츠관리시스템(CMS)인 워드프레스(WordPress)에서 서버 원격 코드 실행으로 이어질 수 있는 ‘Click2Shell’ 취약점이 공개되었습니다. 이번 취약점은 워드프레스 코어 시스템의 테마 미리보기 기능을 악용하는 공격 체인으로, 웹 서버의 안전을 심각하게 위협할 수 있어 웹사이트 관리자들의 각별한 주의가 요구됩니다.
공격자는 별도의 로그인 계정이나 관리자 권한이 없어도 사전 공격 환경을 구성할 수 있습니다. 다만 최종적으로 공격이 성공하려면 로그인 상태인 워드프레스 관리자가 공격자가 생성한 조작된 URL을 직접 방문해야 하는 조건이 필요합니다. 관리자가 해당 링크를 클릭하는 순간 사회공학적 기법과 연계된 원격 코드 실행(RCE) 공격이 성립되며, 서버 상에서 임의의 PHP 코드가 실행되어 서버 전체의 제어권을 탈취당할 위험에 처하게 됩니다.
워드프레스 측은 해당 취약점을 조치한 보안 버전을 신속히 배포했습니다. 따라서 워드프레스 기반 웹사이트를 운영 중인 관리자는 시스템을 즉시 최신 보안 버전으로 업데이트해야 합니다. 또한, 업데이트 적용 전까지는 출처가 불분명한 이메일이나 메시지에 포함된 링크, 특히 테마 미리보기와 관련된 URL 접속을 절대 지양하고 관리자 세션 관리를 철저히 해야 합니다.
♥ 추천 0
테마 미리보기 로직의 검증 부재와 CSRF 취약점이 결합해 RCE(임의 코드 실행)까지 이어진 전형적인 보안 체인 공격 사례입니다. 관리자 권한 세션에 의존해 동적 PHP 코드를 평가(eval/include)하는 구조는 위험하므로, 샌드박싱이나 실행 권한 분리와 같은 계층적 방어(Defense-in-depth) 아키텍처 도입이 시급합니다. 운영 중인 시스템은 즉시 패치를 적용하고, 개발자 관점에서는 외부 입력값이 런타임 코드 실행으로 이어지는 코어 엔드포인트를 전면 재검토해야 합니다.
테마 미리보기 기능의 허점을 악용해 관리자의 클릭 한 번으로 완전한 RCE(임의 코드 실행)를 달성하는 매우 위협적인 공격 체인입니다. 비인증 상태에서 사전 공격 환경을 구성한 후 스피어 피싱이나 CSRF와 결합할 수 있어, 레드팀 수행 시 서버 권한을 탈취하는 강력한 초기 침투 수단이 될 수 있습니다. 관리자의 클릭이 필수적이라는 제약이 있지만, 워드프레스의 높은 점유율을 감안할 때 타깃형 공격에서의 실제 악용 가치는 매우 높습니다.
관리자 계정과 사회공학적 기법을 노린 RCE 취약점은 단 한 번의 경솔한 클릭이 기업 전체 시스템의 권한 탈취로 이어질 수 있음을 보여줍니다. 조직 내 운용 중인 모든 워드프레스 자산을 즉시 전수 조사하고 7.1.1 이상 버전으로 패치를 강제 적용해야 합니다. 기술적 대책과 더불어 관리자 대상의 악성 링크 주의 교육 및 계정 보안 정책을 재점검하여 인간적 요소에 의한 리스크를 최소화하겠습니다.