워드프레스 핵심 취약점 악용 확산, 운영 사이트 즉시 업데이트 필요

오늘의 핵심

워드프레스의 인증 없는 경로 탐색 취약점 CVE-2026-87902가 실제 공격에 악용되고 있다. 특정 테마·서버 조건에서는 원격 코드 실행으로 이어질 수 있어, 국내 웹 운영자는 보안 버전 적용과 침해 흔적 점검을 서둘러야 한다.

확인된 사실

• CVE-2026-87902는 워드프레스의 페이지 템플릿 처리 과정에 존재하는 인증 없는 경로 탐색 취약점이다. 근거 [1] [2]
• 활성 테마의 디렉터리 구조와 서버에 존재하는 읽기 가능한 PHP 파일 등 특정 조건이 맞으면 원격 코드 실행으로 이어질 수 있다. 근거 [1] [2]
• 패치 공개 후 수 시간 안에 취약 사이트를 찾는 요청이 관측됐으며, 이후 공격자가 서버에 실행 가능한 파일을 기록하려는 활동으로 확대됐다. 근거 [1] [2]
• 워드프레스 7.1.2에서 취약점이 수정됐고, 오래된 지원 분기에도 보안 수정 버전이 제공됐다. 근거 [1] [2]

왜 중요한가

• 기업 홈페이지와 캠페인·콘텐츠 사이트처럼 외부에 공개된 워드프레스는 자동화된 대량 탐색에 노출되기 쉽다.
• 관리자 계정 탈취 없이도 특정 환경에서 서버 코드 실행으로 이어질 수 있어 개인정보 유출, 콘텐츠 변조, 서비스 중단 위험이 있다.
• 패치 직후 공격이 시작된 사례여서 정기 점검 주기를 기다리기보다 긴급 변경 절차를 적용할 필요가 있다.

inxight의 관점

• 이번 대응은 플러그인 점검만으로 끝나지 않는다. 워드프레스 코어 버전, 활성 테마 구조, PHP 실행 환경을 하나의 공격면으로 함께 확인해야 한다.
• 업데이트 완료 여부와 침해 여부는 별개다. 패치 적용과 동시에 웹 접근 로그, 최근 생성·변경된 PHP 파일, 비정상 프로세스를 점검해야 한다.
• 외주 제작·호스팅 사이트도 자산 목록에 포함하고, 유지보수 계약에서 긴급 보안 업데이트의 책임과 처리 시간을 명확히 해야 한다.

실무 체크리스트

• 운영·스테이징·임시 캠페인 사이트를 포함해 워드프레스 자산과 현재 코어 버전을 즉시 파악한다.
• 각 설치본을 7.1.2 또는 사용 중인 분기의 보안 수정 버전으로 업데이트하고 정상 동작을 확인한다.
• 9월 22일 이후의 웹 접근 로그와 파일 변경 내역을 검토해 비정상 요청 및 새로 생성된 PHP 파일이 있는지 확인한다.
• 침해가 의심되면 해당 인스턴스를 격리하고 인증정보와 워드프레스 보안 키를 교체한 뒤 신뢰 가능한 백업으로 복구한다.