WordPress 플러그인 두 가지에서 매우 심각한 보안 취약점이 발견되어 실제 공격에 활용되고 있습니다. WooCommerce Wholesale Lead Capture 플러그인(6,000개 이상 설치)에서는 로그인 없이도 악성 PHP 파일을 서버에 올릴 수 있는 취약점(CVE-2026-27540, CVSS 9.8)이 발견되었고, 이미 10만 건 이상의 공격 시도가 탐지되었습니다. 공격자는 'shell.php' 같은 웹 셸(원격에서 서버를 조종할 수 있는 악성 파일)을 업로드해 서버를 마음대로 제어할 수 있습니다. 또한 60만 개 이상의 사이트에 설치된 The Events Calendar 플러그인에서도 인증 없이 원격 코드 실행이 가능한 두 가지 취약점(CVE-2026-78159, CVE-2026-78006)이 발견되어 사이트 완전 장악까지 이어질 수 있습니다. 해당 플러그인 사용자는 즉시 최신 버전으로 업데이트하고 서버의 업로드 디렉터리에 의심스러운 PHP 파일이 있는지 확인해야 합니다.
WooCommerce Wholesale Lead Capture 플러그인의 파일 유형 검증 누락 취약점(CVE-2026-27540)이 실제 공격에 악용되고 있으며, The Events Calendar 플러그인에서도 위젯 렌더링 파이프라인의 불충분한 검증으로 인한 두 개의 RCE(원격 코드 실행) 취약점(CVE-2026-78159, CVE-2026-78006)이 발견됨.
인증 없이 악성 PHP 웹 셸 업로드 및 원격 코드 실행이 가능하며, WordPress 사이트 완전 장악, 민감 데이터 탈취, 악성코드 배포로 이어질 수 있음. The Events Calendar 취약점은 관리자 계정 비밀번호 재설정 후 악성 플러그인 설치까지 허용.
WooCommerce 플러그인은 'wwlc_file_upload_handler' AJAX 액션에서 파일 유형 검증이 누락된 것이 원인. The Events Calendar는 'parse_array' 함수의 위젯 클래스 맵 검증 부재 및 'is_safe_widget_instance' 함수의 불충분한 보호가 원인.
WooCommerce Wholesale Lead Capture는 버전 2.0.3.1 이하를 즉시 최신 버전으로 업데이트. The Events Calendar는 6.17.3.1(CVE-2026-78159) 및 6.17.4.1(CVE-2026-78006)로 업데이트 필요.
WordPress 사이트 관리자는 uploads 디렉터리 내 최근 생성된 .php 파일을 점검하고, 공개된 공격자 IP에서 '/wp-admin/admin-ajax.php'로 action=wwlc_file_upload_handler 파라미터를 포함한 요청이 있었는지 서버 로그를 즉시 확인해야 함.
본문
Ravie Lakshmanan 2026년 9월 16일 | 취약점 / 웹 보안
위협 행위자들이 6,000개 이상의 활성 설치를 보유한 프리미엄 WordPress 플러그인 WooCommerce Wholesale Lead Capture의 심각한 보안 취약점을 악용하고 있습니다.
"이 취약점은 인증되지 않은 공격자가 PHP 백도어를 포함한 임의 파일을 업로드하고 원격 코드 실행(RCE)을 달성하는 데 활용될 수 있습니다"라고 WordPress 보안 업체 Wordfence는 밝혔습니다.
Wordfence는 2026년 6월 이후 해당 취약점을 노린 10만 건 이상의 익스플로잇 시도를 차단했으며, 그 중 99건은 최근 24시간 이내에 기록되었다고 전했습니다. 이 취약점은 CVE-2026-27540 (CVSS 점수: 9.8)으로 추적됩니다.
이 문제는 "wwlc_file_upload_handler"라는 AJAX 액션의 파일 유형 검증 누락으로 인한 임의 파일 업로드에 해당하며, 버전 2.0.3.1을 포함한 모든 이전 버전의 플러그인에 영향을 미칩니다. 이로 인해 인증되지 않은 공격자가 영향받는 사이트 서버에 임의 파일을 업로드할 수 있어 원격 코드 실행의 발판이 마련됩니다.
Wordfence가 관찰한 공격에서 위협 행위자들은 조작된 file_settings 파라미터와 악성 PHP 파일("shell.php")을 이용해 "wwlc_file_upload_handler" AJAX 액션에 조작된 요청을 제출하는 것이 확인되었습니다.
업로드된 PHP 파일은 호스트 정보를 보고하고 침해된 WordPress 사이트에 추가 악성 파일을 쓸 수 있는 브라우저 기반 업로드 폼을 제공하는 웹 셸입니다. 공격 시도는 다음 IP 주소들에서 발생하였습니다:
- 92.241.13.213
- 31.59.129.150
- 2a0f:85c1:840:5389::1
- 92.241.13.140
- 23.137.105.214
- 23.180.120.140
- 104.194.9.138
- 187.75.114.36
- 114.10.43.203
- 37.114.144.209
공격에 성공하면 공격자가 임의의 PHP 파일을 업로드할 수 있으므로, WordPress 사이트 운영자는 업로드 디렉터리를 중심으로 예상치 못하거나 최근 생성된 .php 파일이 있는지 확인하고, 위의 IP 주소들로부터 action 파라미터가 "wwlc_file_upload_handler"로 설정된 "/wp-admin/admin-ajax.php"에 대한 의심스러운 요청이 있었는지 검토할 것을 권고합니다.
The Events Calendar의 심각한 취약점
이번 발표는 Wordfence가 60만 개 이상의 WordPress 사이트에 설치된 플러그인 The Events Calendar에 영향을 미치는 두 가지 심각한 취약점을 상세히 공개한 것과 맞물려 있습니다. 성공적인 악용을 위해서는 대상 이벤트 페이지의 댓글 기능이 활성화되어 있고 플러그인의 "이벤트 페이지에 댓글 표시" 옵션이 켜져 있어야 합니다. 각 취약점에 대한 간략한 설명은 다음과 같습니다:
- CVE-2026-78159 (CVSS 점수: 9.8) - "parse_array" 함수의 위젯 'classes' 맵에 대한 불충분한 검증에서 비롯된 취약점으로, 인증되지 않은 원격 코드 실행(RCE) 달성에 악용될 수 있음 (버전 6.17.3 이하에 영향)
- CVE-2026-78006 (CVSS 점수: 9.8) - "is_safe_widget_instance" 함수의 불충분한 보호에서 비롯된 취약점으로, 인증되지 않은 원격 코드 실행 달성에 악용될 수 있음 (버전 6.17.4 이하에 영향)
"두 공격 체인 모두 플러그인의 위젯 렌더링 파이프라인에서 시작되며, 두 가지 별개의 방법을 통해 궁극적으로 인증 없는 원격 코드 실행으로 이어질 수 있습니다"라고 Wordfence는 밝혔습니다.
"첫 번째 체인은 PHP 객체 주입(Object Injection)을 사용해 기반 서버에서 임의 운영 체제 명령을 실행합니다. 두 번째 체인은 객체 주입 방어를 우회하고 임의 호출 가능 프리미티브(arbitrary-callable primitive)를 남용해 관리자 비밀번호를 재설정한 후, 공격자가 악성 플러그인을 업로드해 사이트를 완전히 장악할 수 있습니다."
Wordfence는 두 체인 모두 관리자 승인 없이 WordPress의 댓글 미리보기(pending-comment preview) 기능을 통해 트리거될 수 있으며, 이 취약점이 사이트 완전 장악, 민감 데이터 탈취, 악성코드 배포로 이어질 수 있다고 경고했습니다. 해당 플러그인을 개발한 StellarWP는 각각 버전 6.17.3.1과 6.17.4.1에서 이 취약점을 수정했습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
