싱가포르 기업이 운영하는 공개 워드프레스 웹사이트 102곳을 점검한 결과, 확인된 취약점은 구형 플러그인을 여러 개 설치한 사이트에 집중돼 있었다. 구형 플러그인이 3개 이상인 34곳에서 전체 취약점 1,853건 가운데 1,375건, 즉 74.2%가 발견됐다.
2 워드프레스 코어 업데이트만으로는 보안 관리가 끝나지 않으며, 플러그인 관리도 꾸준히 챙겨야 한다는 점을 보여주는 결과다.
사이트 3분의 1에 취약점이 집중
구형 플러그인이 3개 이상인 사이트는 조사 대상의 33.3%였지만, 확인된 취약점은 전체의 약 4분의 3을 차지했다.
2 취약점이 사이트마다 고르게 발견된 것이 아니라, 업데이트가 밀린 플러그인이 여럿인 사이트에 탐지 결과가 불균형하게 몰린 셈이다.
다만 이는 점검 과정에서 확인된 취약점의 분포를 말한다. 발견된 취약점이 모두 구형 플러그인 때문에 발생했다는 뜻은 아니며, 취약점이 탐지됐다고 해서 사이트가 실제로 침해됐다고 볼 수도 없다.
코어가 최신이어도 플러그인 위험은 남아
조사 수치에 따르면 워드프레스 코어가 최신 버전인 사이트 48곳 중 29곳(60.4%)에서 플러그인 취약점이 확인됐다. 이 가운데 25곳(52.1%)에는 구형 플러그인이 있었다. 구형 플러그인이 있다는 사실과 확인된 취약점이 있다는 사실은 서로 관련은 있지만, 같은 의미는 아니다.
반대의 경우도 살펴볼 만하다. 워드프레스 코어가 구형인 사이트 41곳 중 39곳(95.1%)에는 구형 플러그인도 있었다. 이들 사이트에서 발견된 취약점은 1,283건으로 전체의 69.2%에 해당한다. 표본에서는 코어와 플러그인 업데이트 공백이 함께 나타나는 경우가 많았다는 의미다. 이번 조사는 싱가포르 기업의 워드프레스 보안 위험을 보여주는 현지 자료를 마련하기 위해 진행됐다.
6
코어 업데이트만으로는 부족한 이유
워드프레스 코어를 업데이트해도 구형이거나 취약한 플러그인까지 자동으로 해결되지는 않는다. 따라서 코어와 테마를 최신 상태로 유지하는 것과 함께, 설치된 플러그인을 점검하고 업데이트하는 절차가 필요하다. 워드프레스 관련 안내 자료도 소프트웨어를 최신 상태로 유지하고 백업을 해둘 것을 권고한다.
4
10
정기 관리에는 사용 중인 플러그인 목록을 살펴보고, 더는 필요하지 않은 플러그인을 제거하며, 제공되는 업데이트를 적용하는 일이 포함될 수 있다. 업데이트 후 사이트가 정상 작동하는지 확인하고 백업 상태를 점검하는 것도 도움이 된다. 다만 업데이트와 점검은 위험을 줄이기 위한 조치이지, 웹사이트의 안전을 보장하는 것은 아니다.
자동 점검 결과가 말해주는 범위
이번 연구는 공개된 웹사이트를 대상으로 자동화된 비침습 방식의 스캔을 진행했다고 설명한다.
7 이런 점검 결과는 스캔 당시 탐지 가능한 보안 노출이 있었는지를 보여준다. 그 자체만으로 취약점이 악용됐거나 사이트가 침해됐다고 입증하지는 않으며, 오래된 소프트웨어가 모든 문제의 원인이라고 단정할 수도 없다.