이것이 워드프레스 역사상 최악의 해킹일까?

하이라이트

• 전 세계 웹사이트의 44% 이상을 구동하는 워드프레스에서 관리자 권한을 완전히 탈취할 수 있는 취약점이 발견되었다.

• 워드프레스 6.90~6.94 및 7.00~7.01 버전은 인증되지 않은 batch v1 엔드포인트를 호출하는 방식으로 SQL 인젝션 공격에 노출된다.

• 보안 연구원이 수개월 걸릴 복잡한 익스플로잇 체인을 AI가 단 10시간 만에 찾아내어 공격 코드를 완성했다.

• 공격자는 악성 플러그인 업로드 후 생성한 관리자 계정을 즉시 삭제하여 침투 흔적을 은폐한다.

• 해당 보안 취약점은 워드프레스 7.0.2 버전 패치를 통해 해결되었다.

타임라인

1. 00:00 - 00:52

   워드프레스 취약점의 영향력 및 기본 동작 원리

   웹사이트 44% 이상이 워드프레스로 작동하므로 다수의 웹 서버가 위험에 노출된다. 외부 플러그인을 설치하지 않은 순정 워드프레스 상태에서도 취약점이 작동한다. 검사 스크립트 전송 시 HTTP 207 응답이 반환되면 인터랙티브 셸 진입이 가능해지며 파일 시스템 전체를 조작할 수 있다.

   • 전 세계 웹사이트 44% 이상에 영향을 주는 워드프레스 관리자 제어권 탈취 취약점이 발생했다.
   • 순정 버전 워드프레스 환경에서 HTTP 207 응답을 반환받으면 해당 취약점이 존재하는 상태이다.
   • SQL 인젝션을 실행해 관리자 계정을 생성하고 악성 플러그인을 업로드할 수 있다.
2. 00:52 - 02:46

   배치 요청 동기화 오류와 SQL 인젝션 메커니즘

   배치 핸들러 내부의 validation 및 matches 배열은 동일한 인덱스로 조회된다. URL 처리 함수 실패 시 validation 배열만 업데이트되어 두 배열 간 인덱스 불일치가 생긴다. 부모 요청을 POST로 보낸 뒤 내부에서 GET 요청을 전달하면 권한 검사를 우회한다. 이 과정에서 이스케이프되지 않은 쿼리가 실행되며 v2 users 엔드포인트를 통해 새 관리자 계정이 생성된다.

   • 공격 대상은 워드프레스 6.90~6.94 및 7.00~7.01 버전이다.
   • 인증되지 않은 batch v1 엔드포인트 호출 시 배열 동기화 오류가 발생하여 권한 검사를 우회한다.
   • author_exclude 필드가 이스케이프 처리 없이 SQL 문자열로 직접 보간된다.
3. 02:46 - 03:53

   웹셸 설치 및 관리자 계정을 통한 은폐 공작

   체크 스크립트를 실행하면 데이터베이스 이름과 사용자 정보가 노출된다. 관리자 권한으로 로그인한 뒤 웹셸 악성 플러그인을 업로드하면 시스템 서버 셸 제어권을 얻는다. 공격을 마친 뒤 생성했던 관리자 계정을 삭제하여 로그 탐지를 우회하고 은밀하게 제어권을 유지한다.

   • SQL 인젝션으로 데이터베이스 이름 및 사용자 정보를 탈취한다.
   • 웹셸 플러그인을 업로드하여 서버 내부 파일 전체에 접근할 수 있다.
   • 관리자 계정 생성 후 악성 플러그인을 설치하고 계정을 즉시 삭제하여 침투를 은폐한다.
4. 03:53 - 04:50

   AI 기반 공격 체인 생성 및 버전 업데이트 대책

   사람 연구원이 수주 혹은 수개월 동안 조합해야 할 복잡한 익스플로잇 체인이 AI를 통해 단 10시간 만에 만들어졌다. 공격자들은 자동화 봇으로 리포지토리와 URL을 감시하다가 AI로 신속하게 공격 코드를 생성해 유포한다. 실제 주말 동안 업데이트를 미룬 사이트들이 침해당했으며, 7.0.2 버전 패치로 이 문제를 해결한다.

   • 수주일 이상 소요될 익스플로잇 체인 완성을 AI가 10시간 만에 처리했다.
   • 자동화 봇과 AI의 결합으로 취약점 공개 이틀 만에 실제 웹사이트 침해가 발생했다.
   • 워드프레스 7.0.2 버전을 적용하면 해당 취약점이 차단된다.