wp2shell: 워드프레스 핵심에서 발견된 초고위험 원격코드실행(RCE) 취약점

취약점 식별자

wp2shell 공격은 두 가지 취약점이 연쇄적으로 작동합니다 :

• CVE-2026-63030 — REST API 배치 엔드포인트의 경로 혼동(Route Confusion) 문제. CVSS 점수 9.8로 심각도 '치명적(Critical)' 등급입니다 . (초기 보고서 중 하나는 7.5로 제시했으나, 여러 보안 업체가 9.8로 수정했습니다 .)
• CVE-2026-60137 — WP_Query의 author__not_in 파라미터에서 발생하는 인증 없는 SQL 인젝션. '높음(High)' 심각도로 평가됩니다 .

영향받는 버전

• 워드프레스 6.9.x: 6.9.0부터 6.9.4까지 모든 버전
• 워드프레스 7.0.x: 7.0.0 및 7.0.1
• 구버전 브랜치 6.8.x도 6.8.6으로 백포트 패치가 제공되었습니다

기술적 상세 내용

wp2shell 공격은 두 가지 버그를 연쇄적으로 활용합니다 :

1. CVE-2026-60137은 인증 없는 SQL 인젝션입니다. 공격자는 로그인 자격 증명 없이도 author__not_in 파라미터에 조작된 HTTP 요청을 보내 워드프레스 데이터베이스에 악성 SQL을 주입할 수 있습니다.

2. CVE-2026-63030은 REST API 배치 엔드포인트(/wp-json/batch/v1)의 경로 혼동 결함입니다. 이 엔드포인트는 단일 호출에서 여러 하위 요청을 처리하는데, 파싱 과정에서 두 개의 내부 배열 순서가 어긋나는 이상 현상이 발생합니다. 이를 통해 공격자는 경로 제한을 우회하고 일반적으로는 허용되지 않는 내부 API 호출을 연쇄적으로 실행할 수 있습니다 .

두 취약점이 결합되면, 공격자는 배치 엔드포인트를 사용해 SQL 인젝션을 악용하는 중첩 요청을 보냅니다. 이는 다음과 같은 방식으로 완전한 원격 코드 실행으로 이어집니다:

• MySQL의 INTO OUTFILE 명령을 이용해 서버 파일 시스템에 임의 데이터(예: PHP 웹셸)를 쓰거나,
• PHP를 실행할 수 있는 워드프레스 옵션을 조작합니다 .

이 공격은 인증이 필요 없고, 플러그인이 필요 없으며, 기본 워드프레스 설치 환경에서도 작동합니다 . 2026년 7월 18일 기준으로 공개 PoC(Proof-of-Concept) 확인 도구가 wp2shell.com에 게시되었고, 실제 작동하는 PoC 익스플로잇 코드가 유포되고 있습니다 .

중요한 점: 영구 객체 캐시(Redis나 Memcached 등)를 사용하면 공격 경로가 일부 차단되거나 변경될 수는 있지만, 근본적인 취약점 자체가 사라지는 것은 아닙니다 .

대응 방법

1. 즉시 업데이트 — 워드프레스 6.9.5, 7.0.2, 또는 6.8.6으로 업그레이드하세요. 자동 업데이트가 활성화된 대부분의 사이트는 이미 강제 업데이트가 적용되었을 것입니다 .
2. 버전 확인 — 대시보드 → 업데이트 메뉴로 이동하거나 wp-includes/version.php 파일을 확인하세요.
3. 즉시 업데이트가 어렵다면 가상 패치(Virtual Patch)나 WAF(Web Application Firewall) 규칙을 배포하세요. Cloudflare는 wp2shell 공격 벡터를 차단하는 WAF 규칙을 이미 출시했습니다 .
4. 침해 징후 확인 — wp-content/uploads/ 디렉토리의 의심스러운 파일, 알 수 없는 관리자 계정, 비정상적인 데이터베이스 항목이 있는지 점검하세요. 아직 대규모 악용 사례는 확인되지 않았지만, 공개 PoC가 존재하므로 스캐닝 공격이 이미 시작되었을 가능성이 높습니다.
5. 데이터베이스 사용자 권한 검토 — 워드프레스 데이터베이스 사용자에게 FILE 권한(INTO OUTFILE 활성화)이 부여되지 않았는지 확인하세요. 이 권한을 제거하면 RCE로 이어지는 공격 경로를 차단할 수 있습니다.

워드프레스 오픈소스 특성으로 인한 위험

아직 야생에서의 악용이 확인되지 않았음에도 불구하고, 오픈소스 모델은 wp2shell에 대해 특히 위험한 상황을 만듭니다:

• 공격자를 위한 완전한 소스 코드 투명성 — 워드프레스는 오픈소스이므로 누구나 패치된 버전을 다운로드해 취약한 버전과 코드를 비교(diff)할 수 있습니다. 이를 통해 패치 릴리스 후 단 몇 시간 만에 정확한 공격 경로를 역설계할 수 있습니다. 보안 업체들은 소스 코드 비교만으로 취약한 코드가 즉시 드러난다고 확인했습니다 .
• 방어자에게는 단축된 시간 — 독점 소프트웨어는 익스플로잇 개발에 별도의 취약점 연구가 필요하지만, 오픈소스 패치는 사실상 취약점 세부 정보를 공개하는 것과 같습니다. 방어자는 며칠이 아닌 몇 시간 내에 전 세계적으로 패치를 적용해야 합니다.
• 방대하고 다양한 공격 표면 — 워드프레스는 전 세계 웹사이트의 약 43%를 차지합니다. 수백만 개의 설치 사이트는 보안 성숙도가 매우 다양한 운영자에 의해 관리됩니다. 많은 사이트가 관리되지 않거나, 오래된 PHP 버전을 사용하거나, 자동 업데이트가 비활성화되어 있어 익스플로잇 코드가 공개되면 손쉬운 표적이 됩니다 .
• 낮은 무기화 장벽 — PoC 확인 도구와 익스플로잇 코드가 패치 후 24시간 이내에 공개되었습니다 . 중간 수준의 실력을 가진 공격자라도 공개 코드를 대규모 스캐닝 도구로 쉽게 개조할 수 있습니다.
• 인증 장벽 부재 — 전체 공격 체인이 인증을 필요로 하지 않으며 기본 워드프레스 설치 환경에서 작동합니다. 공격자는 유효한 자격 증명, 취약한 플러그인, 특수 설정이 전혀 필요 없습니다. 이는 대규모 취약점 무기화에 필요한 노력을 극적으로 낮춥니다 .

요약하면, 오픈소스 모델은 패치 자체가 상세한 취약점 공개 문서가 되는 구조이며, 방대하고 다양한 품질의 설치 기반은 오랫동안 취약한 상태로 남아 있는 사이트들을 만들기 마련입니다. 따라서 공식적인 '악용' 사례가 관찰되기 전에도 이미 고위험 기간이 시작된 셈입니다.