워드프레스 wp2shell 취약점, 5억 개 사이트가 위험하다

전 세계 웹사이트의 40% 이상이 쓰는 워드프레스 코어에서 치명적 결함 wp2shell이 발견돼, 로그인 계정도 플러그인 취약점도 없이 서버를 통째로 장악당할 수 있는 사이트가 최대 5억 개에 달하는 것으로 파악됐다. 패치는 지난 17일 이미 나왔지만, 실제 공격은 패치 발표 뒤 오히려 더 확산되는 이례적인 흐름을 보이고 있다.

wp2shell, 정확히 무슨 결함인가

wp2shell은 두 개의 취약점(CVE-2026-63030, CVE-2026-60137)이 사슬처럼 엮여 완성되는 원격 코드 실행(RCE) 결함이다. CVE-2026-63030은 REST API의 배치(batch) 라우트 처리 과정에서 발생하는 혼동 취약점으로 CVSS 9.8의 치명적 등급을 받았고, CVE-2026-60137은 WP_Query의 author__not_in 파라미터를 통해 SQL 인젝션이 가능한 결함이다. 두 결함을 이어 붙이면 로그인 계정, 플러그인, 특별한 서버 설정 없이도 익명의 공격자가 서버 코드를 실행할 수 있다.

영향을 받는 버전은 워드프레스 6.9.0~6.9.4, 7.0.0~7.0.1이며, 플러그인을 하나도 설치하지 않은 기본 설치 상태에서도 그대로 뚫린다는 점이 이번 사태를 더 위험하게 만든다. 워드프레스 재단은 7월 17일 6.9.5와 7.0.2 버전으로 긴급 패치를 배포했고, 구버전 사용자를 위해 6.8.6에도 수정 사항을 백포트했다.

표로 보는 wp2shell 확산 타임라인

패치가 나온 뒤에도 공격이 줄어들지 않고 오히려 커진 흐름을 시간순으로 정리하면 다음과 같다.

스위스, 독일, 영국, 인도네시아, 리투아니아, 네덜란드, 싱가포르 등지의 IP 13개 이상이 이번 공격에 연루된 것으로 파악됐다. 공격자들은 관리자 계정 목록을 REST API로 긁어가거나, 악성 플러그인을 몰래 설치하거나, 단순 백도어부터 기능이 풍부한 웹셸까지 심는 방식으로 침투 이후 활동을 이어가고 있다.

왜 패치 이후에 공격이 더 커졌나

보통 취약점은 패치가 나오면 시간이 지날수록 공격이 잦아드는 흐름을 보인다. 하지만 wp2shell은 반대다. 패치와 함께 결함 구조가 공개되자 공격자들이 역으로 취약점을 분석해 PoC를 만들었고, 이 PoC가 다시 공개되면서 진입장벽이 크게 낮아졌다.

보안 지식이 없어도 공개된 코드만 실행하면 되는 수준이라, 자동화된 스캐너로 대량의 워드프레스 사이트를 훑는 ‘묻지마 공격’이 급증한 것이다. 실제로 보안업계는 이를 정상적인 보안 점검성 스캔과 구분하기 어려울 만큼 광범위한 스캐닝 활동으로 보고하고 있다.

내 워드프레스가 안전한지 지금 확인할 것

• 워드프레스 관리자 화면(wp-admin) 하단에 표시되는 버전을 확인해 6.9.5, 7.0.2 이상(또는 6.8.6 이상)인지 본다.
• 자동 업데이트가 꺼져 있는 호스팅 환경이라면 지금 바로 수동으로 업데이트한다.
• 즉시 업데이트가 어렵다면 방화벽(WAF)이나 보안 플러그인으로 /wp-json/batch/v1과 ?rest_route=/batch/v1 두 경로를 모두 차단한다. 하나만 막으면 나머지 경로로 그대로 뚫릴 수 있다.
• 보안 연구팀이 공개한 무료 점검 도구(wp2shell.com)로 자신의 사이트가 취약한 상태인지 간단히 테스트해볼 수 있다.
• 이미 공격당한 흔적이 의심된다면 관리자 계정 목록, 낯선 플러그인 설치 여부, 알 수 없는 파일 생성 여부를 함께 점검한다.

Q&A로 정리하는 wp2shell 사태

Q. 워드프레스닷컴(wordpress.com)에 호스팅된 사이트도 위험한가?
A. 이번 결함은 자체 설치형(self-hosted) 워드프레스 코어에 해당하는 문제로, 개인이 서버를 관리하는 워드프레스 사이트가 우선 점검 대상이다. 관리형 호스팅 서비스는 운영사가 서버 단에서 패치를 적용하는 경우가 많지만, 확실하지 않다면 호스팅사에 직접 패치 여부를 문의하는 것이 안전하다.

Q. 플러그인을 안 썼는데도 위험하다는 게 사실인가?
A. 그렇다. wp2shell은 플러그인이나 테마가 아니라 워드프레스 코어 자체의 결함이라, 아무 플러그인도 설치하지 않은 순정 상태에서도 공격이 그대로 통한다.

Q. 이미 열흘 가까이 지났는데 아직도 의미가 있나?
A. 그렇다. 앞서 정리한 타임라인처럼 패치 발표 이후 오히려 스캐닝과 공격 시도가 더 늘고 있는 흐름이라, 아직 업데이트하지 않은 사이트는 지금도 실질적인 표적이다.

시사점

이번 사태에서 눈에 띄는 대목은 ‘패치가 나왔으니 안심’이라는 공식이 통하지 않았다는 점이다. 패치 자체가 공격자들에게 취약점의 구조를 알려주는 설계도가 됐고, 그 설계도를 바탕으로 만든 공개 PoC가 오히려 진입장벽을 낮췄다. 개인 블로그든 소규모 쇼핑몰이든 워드프레스를 쓰고 있다면 ‘내 사이트는 유명하지 않으니 괜찮겠지’라는 생각이 가장 위험하다. 자동화된 스캐너는 사이트의 인지도와 무관하게 인터넷에 연결된 모든 워드프레스 설치본을 무차별적으로 훑기 때문이다.

Jett Insight는 매일 아침 새로운 IT·보안 소식을 전해드립니다.

출처

• WordPress wp2shell Exploitation Grows as Public Exploit Fuels Mass Scanning
• wp2shell: Pre Authentication RCE in WordPress Core
• Critical wp2shell WordPress flaws exploited to install webshells
• 워드프레스 핵심 취약점 ‘wp2shell’ 긴급 패치…로그인 없이 서버 코드 실행