[해외보안뉴스] 워드프레스, 원격 코드 실행 유발하는 치명적 취약점 긴급 패치
· 2026-09-22 21:00
· 조회 21
· 원문 ↗
인기 웹 콘텐츠 관리 시스템(CMS)인 워드프레스(WordPress)가 코어 소프트웨어에서 발견된 치명적인 보안 취약점을 해결했습니다. 이번 취약점은 시스템 계정이 없는 비인증 공격자도 테마 폴더 외부에 있는 PHP 파일을 웹사이트에 강제로 로드하도록 악용할 수 있는 보안 결함입니다.
특정 서버 환경에서는 해당 결함이 단순 파일 로드를 넘어, 공격자가 시스템 내부에서 임의의 악성 코드를 직접 실행(RCE)할 수 있는 심각한 위험으로 이어질 수 있습니다. 영향 범위는 워드프레스 4.7 버전부터 최신 버전까지 프로젝트가 현재 지원하는 모든 브랜치에 광범위하게 적용되는 것으로 확인되었습니다.
워드프레스 개발팀은 지난 9월 22일 해당 문제를 해결한 WordPress 7.1.2 버전 및 지원되는 모든 과거 브랜치용 보안 패치를 공식 배포했습니다. 서비스 중단 및 정보 유출 피해를 예방하기 위해 모든 웹사이트 운영자는 사용 중인 워드프레스를 즉시 최신 보안 버전으로 업데이트해야 합니다.
♥ 추천 0
인증 없는 RCE 가능성이라니, 동적 파일 로딩(
include/require) 시 경로 검증(Path Validation) 로직이 미흡했던 전형적인 보안 허점으로 보입니다.개발 시 외부 입력값이 파일 로딩 경로에 직접 관여하지 않도록 상위 디렉토리 접근(
../) 차단과 엄격한 화이트리스트 기반의 검증 체계를 갖추는 것이 핵심입니다.파급력이 커 4.7 버전까지 백포팅 패치가 제공된 만큼 즉시 코어를 업데이트하고, 서버 단에서도 웹 루트 외곽의 PHP 실행 권한 정책을 재점검해야 합니다.
인증되지 않은 상태에서 WordPress 코어를 대상으로 외부 PHP 파일을 로드할 수 있다는 점은 자동화 스캐너와 봇넷 공격자들에게 최상의 타깃이 됩니다. 특히 서버 환경에 따라 단순 파일 포함(File Inclusion)을 넘어 즉각적인 RCE(원격 코드 실행)로 이어질 수 있어 파급력이 매우 치명적입니다. 패치 내역 디프(Diff) 분석을 통한 원데이(1-day) 익스플로잇 무기화가 빠르게 진행될 가능성이 높으므로, 가용성 점검 후 즉시 패치를 적용해야 합니다.
인증되지 않은 공격자의 원격 코드 실행(RCE)이 가능한 이번 취약점은 외부 노출 웹 자산에 매우 치명적인 리스크입니다. 조직 내 숨겨진 그림자 IT를 포함해 운영 중인 모든 워드프레스 인스턴스를 신속히 전수 조사하고 최우선 긴급 패치 SLA를 가동해야 합니다. 패치가 완료될 때까지는 Web Application Firewall(WAF) 차단 룰 적용과 이상 징후 모니터링을 강화하여 비즈니스 연속성을 확보하겠습니다.