단 몇 줄의 SQL로 전 세계 명문 사이트가 악성코드 유포지로 전락했다

공격자는 인증 절차 없이도 filter=slug:[...] 또는 order=slug:[...]와 같은 조작된 매개변수에 악성 SQL 명령어를 끼워 넣어 데이터베이스의 모든 테이블을 조용히 훔쳐볼 수 있다 . 여기서 유출될 수 있는 정보는 단순한 콘텐츠가 아니다. 관리자 API 키, bcrypt 방식으로 암호화된 비밀번호 해시값, 세션 비밀키 등 사이트의 핵심 통제권을 좌우하는 민감 데이터가 고스란히 노출된다 .

'관리자 API 키'는 사이트의 모든 게시물과 페이지를 생성·수정·삭제할 수 있는 만능 열쇠다. 이 열쇠만 손에 넣으면 해커는 사이트의 주인 행세를 할 수 있게 된다.

해당 취약점은 2026년 2월, 고스트 6.19.1 버전에서 조용히 수정되었다 . 하지만 수많은 운영자가 이 패치를 적용하지 않으면서, 해커들에게 사실상 '열린 문'을 내어준 셈이 되었다.

현재 진행 중인 공격 캠페인: 700개 이상의 도메인이 감염됐다

중국 보안 기업 치안신(Qianxin)의 XLab 위협 인텔리전스 팀이 2026년 5월 발견한 이 캠페인은 이미 700개가 넘는 도메인을 감염시켰다 . 감염이 확인된 주요 기관은 다음과 같다 .

• 하버드 대학교 (Harvard University)
• 옥스퍼드 대학교 (Oxford University)
• 오번 대학교 (Auburn University)
• 덕덕고 (DuckDuckGo)

더욱 우려스러운 점은 상황이 마치 '땅따먹기'처럼 돌아가고 있다는 사실이다. 연구진에 따르면, 최소 2개 이상의 경쟁 해킹 조직이 동일한 취약 사이트를 차지하기 위해 경쟁을 벌이고 있다. 한 조직이 악성코드를 심어 놓으면, 불과 몇 시간 후 다른 조직이 이를 덮어쓰는 식으로 서로 주도권을 다투는 사례도 관찰되었다 .

공격 시나리오: 3단계로 완성되는 침투 과정

이 공격은 눈 깜짝할 사이에 이뤄지는 단순하지만 치명적인 3단계로 구성된다.

1. 관리자 키 탈취 (SQL 인젝션): 공격자는 고스트의 공개 콘텐츠 API를 향해 조작된 SQL 명령어를 발사한다. 이를 통해 데이터베이스에 저장된 관리자 API 키를 인증 없이 빼내는 데 성공한다 .
2. 게시물 무단 수정: 탈취한 관리자 권한으로 고스트 관리 API에 접근한 해커는 사이트에 게시된 모든 글을 한꺼번에 수정한다. 각 게시글 하단에는 눈에 띄지 않는 작은 악성 자바스크립트(JavaScript) 로더가 삽입된다 .
3. 사용자 속이기 (클릭픽스 공격): 감염된 사이트를 방문한 사용자에게 'Cloudflare의 정상적인 보안 확인 절차'로 위장한 가짜 페이지가 나타난다. 이 페이지는 "사용자 확인 중..."이라는 메시지와 함께 사용자에게 특정 키보드 단축키를 누르고 명령어를 복사해 윈도우 '실행' 창에 붙여 넣도록 유도한다. 이는 브라우저의 보안 경고를 우회해 사용자가 직접 악성코드를 실행하게 만드는 전형적인 '클릭픽스(ClickFix)' 사기 수법이다 .

악성코드의 실체

공격자들이 심어 놓은 악성 자바스크립트는 그 자체로 파괴적인 기능을 하지는 않는다. 대신, 외부 서버에서 진짜 공격 코드를 불러오는 2단계 로더 역할을 수행한다 . 현재까지 관찰된 최종 공격 페이로드(악성 데이터)는 다음과 같다.

• 추가 윈도우 악성코드를 내려받는 DLL 로더 .
• 일렉트론(Electron) 기반의 악성코드 샘플. 이는 정상적인 데스크톱 앱으로 위장하기 위해 일부러 앱 개발 프레임워크인 '일렉트론' 안에 악성 코드를 패키징한 사례다 .
• 가짜 CAPTCHA 및 Cloudflare 테마의 사회공학적 미끼 .

조치 방법: 지금 당장 확인해야 할 사항

공격이 데이터베이스 읽기와 콘텐츠 변조 두 단계로 진행되므로, 복구 작업 역시 근본적인 취약점 제거와 2차 피해 방지로 나누어 접근해야 한다.

지금 즉시 (몇 시간 이내)

1. 고스트를 6.19.1 버전 이상으로 업데이트하세요. 이것이 SQL 인젝션 취약점을 근본적으로 제거하는 유일한 방법이다 .
2. 모든 관리자 API 키를 즉시 교체하세요. 공격이 키 탈취에서 시작되므로, 패치를 적용했더라도 기존 키를 계속 사용하면 관리 기능이 여전히 해커에게 노출되어 있다 . 고스트 관리자 패널의 'Labs' 설정에서 새 키를 발급받을 수 있다.
3. 게시된 모든 글과 페이지를 점검하세요. 공격자들은 주로 게시글 하단에 악성 로더를 주입하므로, 각 글의 본문과 커스텀 코드 주입 설정을 샅샅이 확인해 권한이 없는 스크립트가 삽입되었는지 감시해야 한다 .
4. 접근 로그를 검토하세요. 콘텐츠 API에서 SQL 코드 조각이 포함되었거나 비정상적인 slug 필터 매개변수가 사용된 흔적은 없는지, 게시물이 한꺼번에 대량 수정된 기록은 없는지 확인한다 .

단기 조치 (24~48시간 이내)

5. 고스트 외부의 지속적 위협 요소를 찾으세요. 해커가 관리자 API 키를 탈취하면 테마 파일을 변조하거나 악성 리디렉션을 심어 놓을 수도 있다. 침해가 확인된 경우 단순한 스크립트 주입 이상의 광범위한 감염을 의심하고 서버 전체를 정밀 검토해야 한다.
6. 모든 직원 계정의 비밀번호를 재설정하세요. bcrypt로 암호화된 비밀번호 해시가 유출됐더라도, 비밀번호를 바꿔두면 해커가 해독을 시도할 수 있는 시간을 크게 줄일 수 있다 .
7. 데이터베이스 쿼리를 모니터링하세요. 이미 침투한 해커가 새로운 관리자 키를 빼내려고 민감한 테이블을 계속 읽어 들이는지 감시해야 한다 .
8. 서버 환경 전체의 악성코드 검사를 실행하세요. 고스트가 실행되고 있는 Node.js 애플리케이션 경로와 데이터베이스 전체를 꼼꼼히 검사해야 한다.

장기적 방어 전략

9. 고스트 자동 업데이트 기능을 활성화하고 보안 권고를 구독해 신속한 패치가 가능하도록 대비한다 .
10. WAF(웹 애플리케이션 방화벽)에 콘텐츠 API를 겨냥한 SQL 인젝션 패턴 차단 규칙을 추가하세요. 이는 어디까지나 업데이트를 보조하는 '2차 방어선'일 뿐, 근본적인 해결책이 될 수 없다는 점을 명심해야 한다 .
11. 인프라 전체에 걸쳐 노출된 모든 고스트 인스턴스(실행 중인 CMS)를 전수 조사하세요. 이번 공격의 규모를 볼 때, 개인 블로그든 기관 포털이든 인터넷에 연결된 패치되지 않은 고스트 사이트는 모두 '살아있는 표적'일 뿐이다 .

패치는 빠르게 배포되지만, 진짜 문제는 현장에 적용되는 속도다. 이번 사태는 치명적인 CMS 취약점이 공개된 후 사라지는 게 아니라, 오히려 실제 공격자들의 손에 더 강력한 '탄약'으로 재탄생된다는 사실을 뼈저리게 보여준다.