WordPress 업데이트 틈의 공격, CISA 실제 악용 목록에 등재

WordPress는 글과 페이지를 관리하는 웹사이트 소프트웨어입니다. 본체를 업데이트할 때는 새 파일 묶음을 받아 잠시 풀어 놓고, 실제 사이트에 옮기는 과정이 있습니다. 이 준비 공간이 외부 웹 요청에서 보이거나 실행될 수 있다면, 운영자의 정상적인 업데이트와 공격자의 요청이 같은 시기에 만날 수 있습니다.

보안업체 Wordfence는 전체 본체 파일로 업데이트할 때 예측 가능하고 웹에서 접근할 수 있는 임시 경로가 문제라고 설명합니다. 아래는 그 조건을 단순화한 도식이며 공격 실험이나 특정 사이트의 관측 결과가 아닙니다. Wordfence 취약점 설명

%% 업데이트 중 노출 조건과 피해 · CISA·Wordfence 설명을 단순화
flowchart TD
  A["정상 업데이트 작업<br/>새 본체 파일을 임시 준비"] --> B["취약한 준비 경로에<br/>외부 웹 요청이 도달하는 틈"]
  B --> C["로그인하지 않은 공격자<br/>준비 중인 코드 실행 경로 악용"]
  C --> D["서버에서 코드 실행 가능<br/>사이트 파일·자료 피해 위험"]

Wordfence는 영향 범위를 WordPress 4.7~7.1.3 계열로 설명하며, 이전 계열에 별도로 나온 수정판도 열거합니다. 따라서 7.1.4보다 숫자가 작다는 이유만으로 모든 이전 계열의 최신 보안판까지 미수정이라고 단정할 수는 없습니다. WordPress 공식 발표도 이전 계열로의 수정 이식을 안내하지만, 적극적으로 지원하는 것은 최신 버전이라고 설명합니다.

사이트의 본체가 어떤 계열이며 해당 수정이 들어갔는지 확인하고, 앞으로 지원받을 버전으로 옮길 계획을 함께 세워야 합니다. PHP는 WordPress를 실행하는 아래쪽 프로그램입니다. 앞선 PHP 패치가 적용됐다는 기록만으로 이번 WordPress 본체 수정까지 끝났다고 볼 수는 없습니다.

코드를 고치는 일은 이후 같은 취약 경로를 막는 조치입니다. 이미 공격이 있었는지는 별도의 기록으로 판단해야 합니다. CISA 항목도 포렌식 선별 점검이 필요한 대상으로 표시합니다. 여기서 포렌식은 서버·접속 기록과 파일 변화를 조사해 무슨 일이 있었는지 살피는 작업입니다.

아래는 운영자가 담당자와 나눌 수 있는 일반적인 점검 예시입니다. 특정 사이트에 침해가 있었다는 판정이 아니며, 의심되는 자료는 조사 전에 무작정 지우기보다 담당자와 보존·복구 순서를 정해야 합니다. 수정은 공식 권고와 제공자의 절차에 따라 신속히 진행합니다.