지난 2026년 7월 17일(우리나라 시작으로 7월 18일 새벽), 워드프레스 보안팀이 워드프레스 코어 취약점 2개를 해결한 워드프레스 7.0.2 보안 업데이트를 긴급 배포했습니다. 이번에 발견된 취약점은 단순한 정보 유출 수준이 아니라, 인증 없이 서버의 코드를 원격 실행할 수 있는 치명적인 취약점 연계 공격이 가능한 수준으로, CVSS 9.8로 평가된 매우 심각한 취약점입니다.
발견된 보안 취약점 두 가지
이번 업데이트로 패치된 취약점은 CVE-2026-60137과 CVE-2026-63030 두 가지입니다. 두 취약점을 연계하면 인증되지 않은 공격자도 서버에서 임의의 코드를 원격 실행할 수 있어 각별한 주의가 필요합니다.
아래 내용은 워드프레스 보안 업체 Wordfence가 공개한 보안 권고문 "PSA: WordPress Core Patched Unauthenticated Remote Code Execution Vulnerability Chain" 을 바탕으로 정리했습니다.
① CVE-2026-60137 — 비인증 SQL 인젝션 (CVSS 7.5 / 높음)
영향을 받는 워드프레스 버전: 6.8 ~ 7.0.1
게시물 쿼리 파라미터인 author__not_in에 대한 입력값 이스케이프 처리와 SQL 쿼리 사전 준비가 미흡하여, 인증되지 않은 공격자가 기존 쿼리에 임의의 SQL 구문을 추가로 삽입할 수 있습니다. 이를 통해 워드프레스 데이터베이스에 저장된 사용자 계정 정보, 이메일, 비밀번호 해시 등 민감한 데이터를 탈취할 수 있습니다.
발견자: Tin Pham (TF1T), Trong Pham (dtro), haongo
② CVE-2026-63030 — REST API를 통한 원격 코드 실행 (CVSS 9.8 / 치명적)
영향을 받는 워드프레스 버전: 6.9 ~ 7.0.1
REST API 배치 요청 엔드포인트(/wp-json/batch/v1)에서 라우트 검증 로직과 실제 디스패치 로직 사이에 불일치가 발생합니다. 이로 인해 공격자가 검증을 통과한 요청을 의도하지 않은 콜백 함수로 우회 전달하고, allow_batch 제한과 입력값 검증까지 우회하여 서버에서 임의 코드를 실행할 수 있습니다. 특히 위의 SQL 인젝션 취약점과 연계하면 공격 효과가 극대화됩니다.
발견자: Adam Kues
취약점의 영향을 받는 위험한 버전
| 사용 중인 버전 | 위험 여부 | 패치 버전 |
|---|---|---|
| 6.8.x | SQL 인젝션 위험 | 6.8.6 |
| 6.9.x | 두 취약점 모두 위험 | 6.9.5 |
| 7.0.0 ~ 7.0.1 | 두 취약점 모두 위험 | 7.0.2 |
| 7.0.2 / 6.9.5 / 6.8.6 이상 | 안전 | — |
지금 당장 최신 버전으로 업데이트하세요
워드프레스 보안팀은 취약한 버전을 사용 중인 사이트에 대해 자동 업데이트를 시작했습니다. 그러나 자동 업데이트가 반드시 성공한다는 보장은 없으므로, 워드프레스 관리자 페이지에 직접 접속해 현재 버전이 패치 버전으로 업데이트되었는지 즉시 확인할 것을 권장합니다.
- 워드프레스 관리자 페이지 → 알림판 → 업데이트 메뉴에서 현재 설치된 버전 확인
- 취약점이 패치된 버전(6.8.6 / 6.9.5 / 7.0.2)보다 낮은 버전이라면 즉시 수동 업데이트 진행
- 업데이트 전 전체 백업을 실행하는 것이 안전합니다.
대부분의 사이트가 자동 업데이트가 되었을 것입니다. 만약 구버전을 사용하고 있다면 백업을 한 후에 최신 버전으로 업데이트하시기 바랍니다. (2026년 7월 21일 현재 최신 버전은 7.0.2입니다.)
워드프레스 사이트를 안전하게 운영하는 방법
언론을 통해 가끔 워드프레스 보안 취약점 소식이 전해지다 보니 워드프레스가 보안에 약하다는 인식을 가질 수 있습니다.
사실 워드프레스 자체는 보안이 강한 편입니다. 특히 보안 취약점이 발견되면 발빠르게 취약점이 패치된 업데이트가 릴리스됩니다.
하지만 업데이트를 소홀히 하거나 보안 관행을 준수하지 않을 경우 사이트에 멀웨어에 감염되거나 해킹을 당할 수 있습니다.
다음과 같은 조치가 보안 강화에 도움이 됩니다.
- 워드프레스 코어, 테마, 플러그인을 항상 최신 버전으로 업데이트
- 오랫동안 업데이트가 안 되는 테마나 플러그인을 사용 자제
- 보안 플러그인 설치
- 정기적인 백업
서버 레벨에서의 보안도 중요합니다. 서버 수준에서 보안이 떨어지는 경우 Wordfence와 같은 워드프레스 보안 플러그인을 설치하는 것을 고려할 수 있습니다.
이 워드프레스 블로그는 현재 클라우드웨이즈(Cloudways)에서 호스팅되고 있습니다. 클라우드웨이즈는 강력한 서버 방화벽을 제공하고 있고, Malware Protection 기능을 통해 정기적으로 사이트를 스캔하여 사이트에 악성코드가 있으면 경고 메일을 보냅니다.
디도스 공격 위협이 있다면 클라우드플레어(Cloudflare)에 가입하여 대응할 수 있습니다. 이 블로그는 2024년 8월과 9월 사이 1개월 동안 극심한 디도스 공격을 받은 적이 있습니다. 디도스 공격이 시작되면 Cloudflare에서 Under Attack 모드로 전환하고 클라우드웨이즈에서 공격 IP를 파악하여 방어하는 방법으로 겨우 막아낼 수 있었습니다.
댓글 남기기