워드프레스 강제 패치에도 ‘WP2Shell’ 공격 확산

워드프레스 코어에서 발견된 치명적 취약점 ‘WP2Shell’의 공개 악용 코드가 풀리면서 전 세계 워드프레스 운영자들에게 즉각적인 패치가 요구되고 있다. 이 결함은 CVE-2026-63030과 CVE-2026-60137 두 개를 연결해 인증 절차 없이 원격 코드 실행(RCE)까지 이어갈 수 있는 공격 체인이다. 발견자인 서치라이트 사이버(Searchlight Cyber)는 별도 조건 없이 플러그인 하나도 설치되지 않은 기본 워드프레스 설치본에서도 익명 사용자가 공격을 성공시킬 수 있다고 경고했다. 심각성을 인지한 워드프레스 보안팀은 영향받는 버전에 대해 자동 업데이트 시스템을 통한 강제 보안 패치를 이미 적용했다. 그럼에도 공개된 개념증명(PoC) 코드로 실제 공격이 시작된 것으로 확인돼, 아직 패치를 적용하지 않은 사이트는 위험에 노출된 상태다.

REST API와 SQL 인젝션이 맞물린 결함의 실체

WP2Shell은 단일 취약점이 아니라 서로 독립적인 두 결함이 결합해 만들어진 공격 체인이다. 첫 번째 결함인 CVE-2026-63030은 워드프레스 6.9에서 새로 도입된 REST API의 배치(batch) 라우트 처리 과정에서 발생하는 혼동 취약점으로, 치명적(critical) 등급의 임의 코드 실행 위험을 안고 있다. 두 번째 결함인 CVE-2026-60137은 ‘WP_Query’의 ‘author__not_in’ 파라미터에서 발생하는 SQL 인젝션으로, 워드프레스는 이를 고위험(high-severity)으로 분류했다. 이 SQL 인젝션 자체는 워드프레스 6.8.0부터 6.8.5까지도 영향을 미치지만, 해당 버전대에는 REST API 배치 라우트 결함이 없어 RCE로까지 연결되지는 않는다.

두 결함이 동시에 존재하는 완전한 공격 체인은 워드프레스 6.9.0부터 6.9.4까지, 그리고 7.0.0부터 7.0.1까지에 해당한다. 서치라이트 사이버의 연구원 아담 큐스(Adam Kues)가 이 문제를 발견했으며, 회사 측은 “서치라이트 사이버 보안 연구팀이 워드프레스 코어에서 사전 인증 없이 실행 가능한 RCE를 발견했다”며 “이 공격은 특별한 전제 조건이 없고, 플러그인이 하나도 없는 기본 워드프레스 설치본에서도 익명 사용자가 악용할 수 있다”고 밝혔다. 서치라이트 사이버는 워드프레스가 5억 개가 넘는 웹사이트에서 사용되고 있다고 추산하며, 이번 결함이 공개 PoC 등장 이후 얼마나 큰 파급력을 가질 수 있는지를 강조했다.

워드프레스, 강제 자동 업데이트로 긴급 대응

사안의 심각성을 고려해 워드프레스 보안팀은 영향받는 버전을 운영하는 사이트를 대상으로 자동 업데이트 시스템을 통한 강제 보안 업데이트를 활성화했다. 워드프레스는 보안 공지에서 “이번은 보안 릴리스이므로 사이트를 즉시 업데이트할 것을 권고한다”며 “심각성을 고려해 워드프레스.org 팀이 영향받는 버전을 운영하는 사이트에 대해 자동 업데이트 시스템을 통한 강제 업데이트를 활성화했다”고 설명했다. 패치는 금요일(현지시각) 버전 6.9.5와 7.0.2로 배포됐다. 자동 업데이트 대상이 아니거나 별도로 워드프레스를 관리하는 운영자는 직접 최신 버전으로의 업그레이드를 확인해야 한다.

클라우드플레어(Cloudflare)도 패치가 즉시 적용되지 않은 고객사를 보호하기 위해 이번 공격을 탐지하는 규칙을 배포했다고 밝혔다. 다만 서치라이트 사이버는 악용을 막기 위해 취약점의 세부 기술 정보를 공개하지 않았지만, 다른 연구자들에 의해 이미 공개 PoC 익스플로잇이 유포된 상태다. 이는 패치가 배포된 직후부터 실제 공격까지 시간 간격이 극도로 짧아졌다는 뜻이며, 아직 업데이트를 마치지 않은 워드프레스 운영자들에게는 매우 불리한 상황이다.

실전 공격 확산…“이건 아플 것”이라는 경고

WP2Shell을 겨냥한 실전 공격은 여러 보안 업체를 통해 이미 확인됐다. 워드프레스 보안 업체 패치스택(Patchstack)이 이 중 하나다. Hexastrike는 주말 동안(현지시각) 자체 허니팟에서 공격 시도를 포착했으며, 일요일(현지시각)에는 이미 여러 침해 사고 대응을 지원했다고 밝혔다. Hexastrike는 침해 탐지와 조사를 위한 권고안도 함께 공유했다. WatchTowr 역시 실제 악용 시도를 관측했다고 전했다.

WatchTowr의 최고경영자(CEO) 겸 창업자 벤저민 해리스(Benjamin Harris)는 “이건 아플 것”이라고 말했다. 그는 “워드프레스는 전 세계 수억 개 웹사이트에서 구동되고 있다”며 “그중 일부는 호스팅 업체에 의해 자동 패치되겠지만, 상당수는 그렇지 못할 것이고 바로 그 지점에서 피해가 발생할 것”이라고 경고했다. 해리스는 이어 “이번 사건은 취약점이 AI 지원 도구로 발견되고, 공격자들이 이를 얼마나 빠르게 무기화하는지를 보여주는 최근 흐름의 또 다른 사례”라며 “보안 업계가 결함을 찾는 방식과 공격자들이 그것을 이용하는 속도 모두에서 중대한 변화가 일어나고 있다”고 덧붙였다.

패치 배포 이후에도 공격이 빠르게 확산되는 흐름은 워드프레스뿐 아니라 대규모로 배포되는 오픈소스 소프트웨어 전반의 보안 대응 속도에 대한 고민을 다시 던지고 있다. 자동 업데이트가 켜져 있지 않은 사이트, 별도 관리 주체가 없는 워드프레스 설치본은 당분간 지속적인 공격 대상이 될 가능성이 크다. 워드프레스 운영자라면 관리자 화면에서 현재 버전을 확인하고, 6.9.5 또는 7.0.2 이상으로 즉시 업데이트하는 것이 최우선 과제다.