워드프레스에서 문의 폼 제작에 사용되는 Ninja Forms 플러그인의 파일 업로드 애드온에서 심각한 보안 취약점이 발견되어 최신 버전에서 수정되었습니다. 이번 이슈는 인증되지 않은 공격자가 임의 파일을 업로드할 수 있는 문제로 이어질 수 있어, 이 플러그인을 사용하는 사이트 운영자라면 단순한 플러그인 업데이트 이슈가 아니라 보안 점검이 필요한 사안입니다.
워드프레스 Ninja Forms 문의폼 플러그인
Ninja Forms는 인기 워드프레스 문의 폼 플러그인 중 하나로, 코딩 지식 없이 문의 양식, 신청서, 파일 업로드 폼 같은 기능을 쉽게 만들 수 있습니다. 특히 드래그 앤 드롭 방식으로 폼을 구성할 수 있어 초보자도 비교적 쉽게 사용할 수 있다는 점이 장점입니다.
드래그 앤 드롭 방식을 제공하는 컨택트 폼 플러그인으로 WPForms가 많이 사용되지만, WPForms는 큰 인기에 힘입어 무료 버전에서는 기능이 많이 제한되어 있는 편입니다.
비슷한 기능을 제공하면서도 무료 버전에서 더 많은 기능을 제공하는 워드프레스 컨택트 폼 플러그인 중 하나가 Ninja Forms입니다. Ninja Forms는 현재 60만 개가 넘는 사이트에 설치되어 사용되고 있습니다.
이와 비슷한 기능의 플러그인으로 Everest Forms라는 문의 폼 플러그인도 있습니다. Everest Forms는 현재 10만 개가 넘는 사이트에 설치되어 사용 중이며, WPForms의 유료 버전에서 제공하는 일부 기능을 무료 버전에서 제공합니다.
최근 날짜/시간 필드 때문에 WPForms 대신 Everest Forms를 사용하는 워드프레스 사이트에서 솔라피(구 CoolSMS) 서비스를 이용하여 문자 발송 기능을 연동하는 작업을 한 적이 있습니다. 해당 작업 과정에서 Everest Forms를 처음 접하게 되었는데, WPForms보다 더 많은 기능을 이용하고 싶은 경우 WPForms의 대안으로 고려할 만한 것 같습니다.
워드프레스 Ninja Forms 파일 업로드 플러그인 보안 취약점 문제 수정
Ninja Forms는 무료로 제공되지만, 기능을 확장하려면 유료 확장 기능을 구입해야 합니다. Ninja Forms에서 사용자들이 파일을 업로드하도록 하려면 File Uploads 애드온을 구입해야 합니다.
Ninja Forms의 파일 업로드 확장 기능에서 파일 검증 오류가 발견되어, 인증되지 않은 공격자가 악성 파일을 업로드해 사이트를 위험에 빠뜨릴 수 있는 취약점이 수정되었습니다.
업로드되는 파일의 형식과 저장 경로를 충분히 검증하지 못해서 보안 문제가 발생했다고 합니다. 쉽게 말해, 정상적인 이미지나 문서만 받도록 해 둔 장치가 우회될 수 있었고, 그 틈을 이용해 PHP 웹셸 같은 위험한 파일이 올라갈 수 있었습니다.
CVE-2026-0740으로 등록된 이 취약점은 CVSS 9.8(위험) 등급을 받았으며, 인증 없이도 악성 파일을 서버에 업로드해 사이트를 장악할 수 있어 즉각적인 대응이 요구됩니다. 3.3.26 이하 버전에서 이 보안 취약점이 존재하며, 3.3.25 버전에서 부분 패치가 이뤄졌으나 완전한 수정은 3.3.27 버전에서 이루어졌습니다. 이 플러그인을 사용하는 경우 곧바로 최신 버전으로 업데이트하시기 바랍니다.
인기 워드프레스 테마나 플러그인에서 보안 취약점이 수정되고 자세한 내용이 공개되면 이를 악용한 공격이 발생할 수 있습니다. 실제로 이 플러그인의 보안 취약점을 악용한 사례가 보고되고 있다고 하므로 주의가 필요합니다.
워드프레스 컨택트 폼 플러그인에서 보안 취약점이 자주 발견되는 이유
워드프레스 컨택트 폼 플러그인에 보안 취약점이 자주 발견되는 데, 이는 구조적인 이유가 있습니다.
이런 플러그인들은 기본적으로 외부 사용자의 입력을 직접 받아 처리하는 특성상, 입력값 검증이나 파일 업로드 처리 등 공격 표면이 넓을 수밖에 없습니다.
또한, 워드프레스 생태계 특성상 수많은 서드파티 개발자가 플러그인을 제작하다 보니, 개발 역량이나 보안 검토 수준이 들쭉날쭉하고 코드 품질 관리가 체계적으로 이루어지지 않는 경우가 많습니다.
여기에 더해, 문의 폼 플러그인은 설치 수가 수십만에서 수백만에 달할 만큼 보급률이 높아 공격자 입장에서 매력적인 타깃이 됩니다. 취약점 하나를 찾아내면 그만큼 많은 사이트에 동시에 적용할 수 있기 때문입니다.
자동 업데이트를 비활성화한 채 오래된 구형 버전을 방치하는 사이트도 많아, 패치가 배포된 이후에도 취약한 상태가 장기간 유지되는 경우가 흔합니다.
워드프레스 사이트를 안전하게 운영하려면 다음과 같은 조치가 도움이 됩니다.
- 워드프레스 코어, 테마, 플러그인을 항상 최신 버전으로 유지합니다.
- 장기간 업데이트가 안 되고 방치되는 테마나 플러그인은 제거합니다.
- 보안 취약점이 있는 것으로 알려진 플러그인을 사용하지 않습니다.
- 가능하면 플러그인 설치 개수를 최소화하는 것이 바람직합니다.
- 보안 플러그인 설치 (워드펜스 등)
- 정기적인 백업
이외에 강력한 비밀번호를 사용하고 암호를 다른 사람들과 공유하지 않는 등 보안 관행을 준수하는 것이 바람직합니다.
👉 워드프레스 멀웨어 감염이나 해킹 등 워드프레스 또는 웹호스팅 문제로 해결에 어려움을 겪는 경우 여기에서 서비스(유료)를 의뢰하실 수 있습니다.
댓글 남기기