2026년 9월 22일(한국 시각으로는 9월 23일), 워드프레스 7.1.2 업데이트가 전격 공개되었습니다. 7.1.1이 나온 지 불과 5일 만에 새 버전이 등장해 의아하게 느끼신 분들도 있을 텐데요. 7.1.2는 심각한 미인증 경로 조작(Path Traversal) 취약점을 긴급히 수정한 보안 릴리스입니다.
워드프레스는 안전한 콘텐츠 관리 시스템(CMS)이지만 최신 버전으로 업데이트하지 않을 경우 보안에 구멍이 발생하여 문제가 될 수 있습니다. 워드프레스 코어, 테마, 플러그인을 항상 최신 버전으로 유지하고 오랫동안 업데이트가 안 되고 방치되는 플러그인은 삭제하는 것이 바람직합니다.
워드프레스 코어에서 치명적 취약점 발견, 7.1.2로 즉시 업데이트
워드프레스 버전 7.1을 이용하는 경우 대부분의 사이트가 7.1.2로 자동으로 업데이트되었을 것입니다. 만약 최신 버전으로 업데이트가 안 되었다면 지금 최신 버전(2026년 7월 25일 현재 최신 버전은 7.1.2임)으로 업데이트할 것을 권장합니다.
취약점 정보 요약
- 취약점명: WordPress 코어 7.1.1 이하에 존재 - locate_template() 경로 조작을 통한 미인증 로컬 파일 인클루전(LFI)
- CVSS 등급: 8.1 (높음)
- CVE 번호: CVE-2026-87902
- 영향을 받는 버전: 다수 버전
- 패치된 버전: 4.7.37, 4.8.32, 4.9.33, 5.0.29, 5.1.26, 5.2.28, 5.3.25, 5.4.23, 5.5.22, 5.6.21, 5.7.19, 5.8.17, 5.9.18, 6.0.16, 6.1.14, 6.2.13, 6.3.12, 6.4.12, 6.5.12, 6.6.9, 6.7.9, 6.8.10, 6.9.9, 7.0.6, 7.1.2
4.7 이상의 거의 모든 버전에서 이번 취약점이 존재하는 것 같습니다. 최신 버전으로 업데이트할 수 없다면, 해당 메이저 버전에서 가장 높은 버전으로 업데이트하시기 바랍니다(예를 들어, 6.9 버전을 이용하는 경우 6.9.9 버전으로 업데이트).
취약점에 대한 간단한 설명
이번 취약점은 워드프레스가 어떤 페이지를 보여줄지 결정하는 과정에서 발생했습니다. 워드프레스는 주소(URL)에 담긴 페이지 이름을 읽어 그에 맞는 템플릿 파일을 찾아 화면에 띄우는데, 이때 페이지 이름을 제대로 검증하지 않는 허점이 있었습니다. 그 틈을 노려 정상적인 페이지 이름 대신 특수한 문자열을 집어넣으면, 워드프레스가 테마 폴더 밖에 있는 엉뚱한 PHP 파일까지 불러와 실행할 수 있는 취약점이 존재했습니다.
더 심각한 점은 이 취약점을 악용하는 데 로그인이나 관리자 계정이 전혀 필요 없다는 점입니다. 공격자는 단순히 특정 형태의 주소로 요청만 보내면 되고, 특정 플러그인이 아니라 워드프레스 자체(코어)의 문제이기 때문에 원칙적으로 모든 워드프레스 사이트가 영향권 안에 있습니다.
다만 실제로 사이트가 완전히 뚫리려면 사용 중인 테마에 특정 폴더 구조가 있어야 하고, 서버에 악용 가능한 파일이 존재해야 하는 등 몇 가지 조건이 추가로 맞아야 하므로, 조건이 안 맞는 사이트라 해도 취약점 자체는 남아있는 만큼 업데이트는 반드시 필요합니다.
워드프레스 코어, 테마, 플러그인을 항상 최신 버전으로 업데이트하세요
워드프레스 사이트를 안전하게 운영하려면 워드프레스 코어, 테마, 플러그인을 항상 최신 버전으로 유지하는 것이 중요합니다.
Wordfence가 설치되어 있거나 클라우드웨이즈(Cloudways) 등 일부 웹호스팅을 이용하는 경우 보안 취약 상태가 발견되면 이메일로 알림을 보내주기도 합니다.
예를 들어, 클라우드웨이즈를 이용하고 있고, 특정 애플리케이션(워드프레스 사이트)에서 워드프레스가 7.1.2로 업데이트가 안 되어 있다면 아래 그림과 같이 이메일로 "Alert: Vulnerabilities detected on your application..." 알림 메일을 받게 될 것입니다.
안전하게 워드프레스 사이트를 관리하려면 다음과 같은 조치가 도움이 됩니다.
- 워드프레스/테마/플러그인을 항상 최신 버전으로 유지
- 오랫동안 업데이트가 안 되는 테마나 플러그인은 삭제
- 정기적인 백업
- Wordfence와 같은 보안 플러그인 설치
- 강력한 비밀번호 설정
PHP 버전이 낮아서 오랫동안 업데이트를 하지 않았다면 PHP 버전을 최신 버전(예: PHP 8.4)으로 업그레이드하고 워드프레스 코어, 테마, 플러그인을 모두 업데이트하는 것을 고려할 수 있습니다. 다만, 버전 차이가 제법 나게 되면 업데이트 후에 사이트 오류가 발생하기도 합니다.
👉 워드프레스 업데이트 작업, 멀웨어 감염 등을 비롯하여 워드프레스 또는 웹호스팅 관련 문제로 어려움을 겪는 경우 여기에서 서비스(유료)를 의뢰하실 수 있습니다.
댓글 남기기