[해외보안뉴스] Elementor 워드프레스 플러그인 취약점, 공격자의 관리자 계정 생성 허용
· 2026-09-25 19:00
· 조회 20
· 원문 ↗
인기 워드프레스(WordPress) 페이지 빌더 플러그인인 Elementor에서 크로스사이트 요청 위조(CSRF) 취약점이 발견되었습니다. 이 취약점을 이용하면 인증되지 않은 외부 공격자가 웹사이트에 임의로 새로운 관리자(Administrator) 계정을 생성할 수 있게 되어 사이트의 제어권을 완전히 넘겨줄 위험이 있습니다.
이번 취약점은 전 세계 수백만 개 이상의 워드프레스 웹사이트에서 활용되고 있는 Elementor 플러그인의 특정 버전에 영향을 미칩니다. 공격자는 관리자 권한을 가진 사용자가 악성 링크를 방문하도록 유도함으로써 권한을 남용하고, 최고 권한의 관리자 계정을 몰래 추가하는 방식으로 공격을 수행합니다. 관리자 권한이 넘어가면 웹사이트 변조, 악성코드 배포, 민감 데이터 유출 등 치명적인 2차 피해로 이어질 수 있습니다.
사이트 운영자는 웹사이트의 안전을 위해 설치된 Elementor 플러그인을 즉시 개발사가 제공하는 최신 보안 패치 버전으로 업데이트해야 합니다. 또한 현존하는 관리자 계정 목록을 전수 조사하여 알 수 없는 계정이 추가되어 있는지 확인하고, 신뢰할 수 없는 링크나 이메일 첨부파일을 함부로 열어보지 않는 보안 수칙을 준수해야 합니다.
♥ 추천 0
관리자 계정 생성과 같은 치명적인 상태 변경(State-changing) 요청에서 CSRF 토큰 검증이 누락된 것은 전형적인 보안 모범 사례 위반입니다. 워드프레스 플러그인 개발 시 요청 핸들러 최상단에서
wp_verify_nonce()를 통한 토큰 검증과current_user_can()권한 체크를 필수적으로 강제해야 합니다. 중요한 엔드포인트에는 민감한 로직이 실행되기 전에 미들웨어 차원에서 인터셉트하여 권한을 검증하는 아키텍처적 방어(Defense-in-depth) 패턴을 적용해야 합니다.Elementor의 압도적인 점유율을 고려할 때, 이번 CSRF 허점은 스피어 피싱이나 XSS 공격과 체이닝되어 대규모 웹사이트 탈취에 악용될 가능성이 매우 높습니다.
CSRF 특성상 기존 관리자의 세션을 이용한 사회공학적 유도가 필요하지만, 공격이 성공하는 순간 미인증 상태에서도 단번에 최고 권한을 획득하게 됩니다.
임의의 관리자 계정이 생성되면 즉시 웹쉘 업로드 및 영구적인 권한 유지(Persistence)로 이어지는 완벽한 사이트 장악(Full Takeover)이 가능하므로 매우 위협적인 공격 벡터입니다.
유명 웹 플러그인의 권한 탈취 취약점은 단순한 기술적 오류를 넘어 기업 웹 서비스 전체를 무력화할 수 있는 중대한 비즈니스 리스크입니다. 당사는 외부 노출 자산의 서드파티 플러그인 사용 정책을 재검토하고, 긴급 보안 패치 프로세스를 즉시 가동해야 합니다. 아울러 보유 중인 모든 웹 서비스의 관리자 계정을 전수 감사하여 미인가 계정 생성 여부를 확인하는 등 계정 관리 거버넌스를 한층 강화하겠습니다.