공격자들, CVE-2026-87902 WordPress 취약점 공개 수 시간 만에 악용 시작

한 줄 요약

WordPress에서 원격 코드 실행(RCE, 공격자가 서버를 원격으로 마음대로 조종할 수 있는 공격)이 가능한 심각한 취약점 CVE-2026-87902(CVSS 9.2)가 공개 당일부터 실제 공격에 악용되고 있습니다. 인증 없이도 공격이 가능하며, 공격자들은 서버에 악성 PHP 파일을 심어 웹쉘을 설치하는 방식을 사용하고 있습니다. 보안 업체 Previdian과 Patchstack 모두 공개 당일부터 수십 건의 실제 공격 시도를 관측했습니다. WordPress는 자동 업데이트가 기본 활성화되어 있어 대규모 피해로 이어질 가능성은 제한적이지만, 자동 업데이트를 끈 사이트는 즉각 패치가 필요합니다. 관리자는 WordPress 7.1.2(또는 7.0.6, 6.9.9, 6.8.10) 버전으로 즉시 업데이트하고 서버 내 악성 파일 여부를 확인해야 합니다.

사건

WordPress의 CVE-2026-87902(CVSS 9.2) 취약점이 패치 공개 당일인 2026년 9월 22일부터 즉각 악용되기 시작했으며, Previdian 허니팟 기준 68건 이상의 공격 시도가 관측됐다.

영향

인증 없는 공격자가 서버에 악성 PHP 파일을 업로드해 원격 코드 실행(RCE)을 달성할 수 있으며, 웹쉘 설치로 이어질 수 있다. 전 세계 수백만 개의 WordPress 사이트가 잠재적 대상이다.

원인

get_page_template() 함수가 활성 테마 디렉터리 외부의 임의 PHP 파일을 포함할 수 있는 결함으로, 서버에 pearcmd.php 등 이용 가능한 PHP 파일이 존재하는 경우 RCE로 이어진다.

대응

WordPress 7.1.2, 7.0.6, 6.9.9, 6.8.10 버전으로 즉시 업데이트해야 한다. 서버 내 wp-pear-rce-flag.php, poc87902.php, luci_*.php, zeta_*.php 등 의심 파일 및 악성 IP로부터의 접근 로그를 점검해야 한다.

실무 포인트

WordPress 자동 업데이트가 비활성화된 사이트는 즉각 수동 패치가 필수다. 공격에 활용되는 IP 목록(43.250.53[.]42 등 6개)을 방화벽 또는 WAF 차단 규칙에 추가하는 것을 권장한다.

본문

Ravie Lakshmanan 2026년 9월 24일 | 취약점 / 웹 보안

위협 행위자들이 공개 수 시간 만에 WordPress의 심각한 보안 결함을 적극적으로 악용하기 시작했다.

문제의 취약점은 CVE-2026-87902(CVSS 점수: 9.2)로, 인증되지 않은 공격자가 원격 코드 실행(RCE)을 달성할 수 있다.

WordPress는 이틀 전 공개한 보안 권고문에서 다음과 같이 밝혔다. "인증되지 않은 공격자가 get_page_template()의 페이지 템플릿 해석 과정에서, 활성 테마 디렉터리 외부에 있는 읽기 가능한 로컬 .php 파일을 임의로 포함시킬 수 있습니다. 서버 환경과 활성 테마에 관련 사전 조건이 충족되면 이는 RCE로 이어질 수 있습니다."

성공적인 악용은 다음 두 가지 전제 조건을 충족해야 한다.

활성 자식 또는 부모 테마에 이름이 page-로 시작하는 최상위 디렉터리가 존재해야 한다(예: page-templates).
선택된 로컬 .php 대상 파일이 서버에 존재하며 웹 서버 계정이 읽을 수 있어야 한다(예: pearcmd.php).

Previdian이 The Hacker News와 공유한 성명에 따르면, 자사 허니팟 네트워크에서 CVE-2026-87902를 노리는 악용 시도가 포착되고 있으며, 악성 요청은 미국 뉴저지주에 위치한 IP 주소(104.194.9[.]227)에서 발생하고 있다.

이 요청들은 로컬 PHP 파일 /usr/local/lib/php/pearcmd.php를 포함하고, /tmp/에 파일을 기록한 뒤, GitHub에 호스팅된 PHP 업로드 스크립트("raw.githubusercontent[.]com/MrG3P5/web-shell/refs/heads/main/uploader.php")를 포함하는 방식을 사용한다.

Previdian의 창립자 겸 CEO Ryan Dewhurst는 "이것이 의심할 여지 없이 심각한 취약점이지만, 특정 사전 조건들이 실제 악용 가능성을 낮추고 있다"고 말했다. "WordPress는 기본적으로 자동 업데이트가 활성화되어 있기 때문에 대규모 악용 시도는 목격되겠지만, 실제 침해로 이어지는 사례는 상대적으로 적을 것이다."

Previdian의 텔레메트리 데이터에는 2026년 9월 23일부터 시작된 총 68건의 악용 시도가 기록되어 있다. 일부 시도는 인도네시아 소재 IP 주소에서도 발생했다.

WordPress 보안 기업 Patchstack도 악성 요청이 무해한 핵심 파일에 대한 정찰에서 "pearcmd.php"를 포함하고 이를 이용해 PHP 파일을 디스크에 기록하는 적극적인 악용으로 확대됐다고 경고했으며, 이는 Previdian의 발견을 뒷받침한다.

최초 악용 시도는 2026년 9월 22일 오전 11시 49분 UTC에 기록되었으며, 이는 해당 취약점에 대한 패치가 배포된 당일이다. 또한 이 활동에는 "/tmp" 및 "/var/tmp" 등의 위치에 공격자가 제어하는 PHP 콘텐츠를 이용한 임의 파일 쓰기가 포함된다. 관측된 파일 이름은 다음과 같다.