워드프레스 기반 쇼핑몰에서 사용하는 '우커머스 도매 리드 캡처' 플러그인에서 로그인 없이도 악성 파일을 서버에 올릴 수 있는 치명적 취약점(CVE-2026-27540, 위험도 9.8점)이 실제 공격에 활발히 이용되고 있습니다. 공격자는 이 취약점을 이용해 웹셸(원격에서 서버를 조종하는 악성 프로그램)을 심고 사이트 전체를 장악할 수 있으며, 현재까지 10만 건이 넘는 공격 시도가 탐지됐습니다. 같은 시기에 60만 개 이상의 사이트에서 쓰이는 '더 이벤트 캘린더' 플러그인에서도 인증 없이 원격 코드 실행(RCE)이 가능한 취약점 두 건(CVE-2026-78006, CVE-2026-78159)이 공개됐습니다. 두 플러그인 모두 보안 패치가 배포됐으므로, 해당 플러그인을 사용 중인 관리자는 즉시 최신 버전으로 업데이트해야 합니다.
우커머스 도매 리드 캡처 플러그인(CVE-2026-27540)의 파일 업로드 검증 결함을 악용해 인증 없이 PHP 웹셸을 서버에 업로드하는 공격이 6월부터 지속적으로 발생하고 있으며, 누적 10만 건 이상의 악용 시도가 확인됐다. 더 이벤트 캘린더 플러그인에서도 RCE 취약점 2건(CVE-2026-78006, CVE-2026-78159)이 동시기에 공개됐다.
공격 성공 시 서버에 웹셸 설치, 추가 악성 파일 배포, 관리자 계정 생성, 내부 데이터 탈취, 사이트 완전 장악이 가능하다. 약 6,000개(우커머스 플러그인) 및 60만 개(이벤트 캘린더) 워드프레스 사이트가 잠재적 공격 대상이다.
우커머스 도매 리드 캡처는 허용 파일 종류를 서버가 아닌 사용자 요청값(file_settings)에 의존해 검증함으로써 공격자가 PHP 파일 업로드를 허용 목록에 임의로 추가할 수 있었다. 이벤트 캘린더는 PHP 객체 역직렬화 및 위젯 클래스 값 처리 과정의 입력 검증 부재가 원인이다.
우커머스 도매 리드 캡처 2.0.3.2 이상, 더 이벤트 캘린더 6.17.4.1 이상으로 즉시 업데이트. 취약 버전 운영 이력이 있다면 업로드 디렉터리 내 비정상 PHP 파일 점검, 웹서버 로그에서 wwlc_file_upload_handler 요청 확인, 미인가 관리자 계정 및 백도어 여부 전수 조사 필요.
침해 흔적 발견 시 웹셸 단순 삭제로 종료하지 말고, 안전한 백업으로 복구 후 계정·플러그인·파일 변경 이력을 전반적으로 재검토해야 한다. 이벤트 캘린더 취약점은 댓글 기능 활성화 시 미승인 댓글 미리보기만으로도 악용될 수 있어 댓글 설정도 점검이 필요하다.
본문
워드프레스 기반 온라인 쇼핑몰에서 사용하는 우커머스 도매 리드 캡처 플러그인의 치명적 취약점을 노린 실제 공격이 이어지고 있다. 공격자는 별도의 로그인 과정 없이 악성 PHP 파일을 서버에 올린 뒤 웹셸을 설치해 사이트를 장악할 수 있다.
문제가 된 취약점은 CVE-2026-27540으로, CVSS 위험도는 9.8점이다. 2026년 2월 20일 공개됐으며 우커머스 도매 리드 캡처 2.0.3.1 이하 버전이 영향을 받는다. 보안 패치는 2.0.3.2 버전에 적용됐다. 이 플러그인은 약 6,000개 워드프레스 사이트에서 사용되는 것으로 파악됐다.
공격자가 파일 종류 직접 조작…PHP 파일 업로드 가능
취약점은 플러그인의 파일 업로드 처리 과정에서 발생했다.
우커머스 도매 리드 캡처는 도매 고객의 가입 신청을 받는 기능을 제공하며, 신청자가 필요한 서류 등을 첨부할 수 있도록 파일 업로드 기능을 지원한다. 이 과정에서 wwlc_file_upload_handler라는 AJAX 기능이 사용된다.
문제는 서버가 허용할 파일 종류를 자체적으로 확인하지 않고, 사용자가 보낸 요청에 포함된 file_settings 값을 기준으로 판단했다는 점이다. 공격자가 허용 파일 목록에 PHP를 직접 추가하면 원래 업로드돼서는 안 되는 실행 가능한 PHP 파일까지 서버에 올릴 수 있었다. 인증된 사용자일 필요도 없었다.
실제 공격에서는 공격자가 조작한 file_settings 값과 함께 shell.php와 같은 악성 파일을 /wp-admin/admin-ajax.php로 전송했다.
서버에 올라간 PHP 파일은 웹셸로 작동했다. 감염된 서버 정보를 확인하고 웹브라우저에서 추가 파일을 업로드할 수 있는 기능도 포함됐다. 공격자는 이를 발판으로 다른 악성 파일을 설치하거나 관리자 계정을 생성하고 내부 데이터를 빼내는 등 추가 공격을 할 수 있다. 최악의 경우 워드프레스 사이트 전체가 공격자에게 넘어갈 수 있다.
6월부터 공격 집중…10만건 이상 악용 시도 차단
이번 취약점은 단순한 개념증명 수준에 머물지 않았다.
보안업체가 수집한 공격 데이터를 보면 CVE-2026-27540을 노린 공격은 수개월 동안 계속됐다. 특히 6월 4일부터 17일 사이 많은 공격이 탐지됐으며 7월 1일과 8월 30일에도 공격이 집중됐다. 9월 14일 공개된 집계에서는 누적 10만건이 넘는 악용 시도가 방화벽에서 차단됐다.
공격량이 많은 일부 IP에서는 한 주소에서만 2만건이 넘는 요청이 확인됐다. 공격에 사용된 주요 주소에는 92.241.13.213, 31.59.129.150, 2a0f:85c1:840:5389::1, 92.241.13.140 등이 포함됐다. 다만 IP 주소는 공격자가 변경하거나 다른 서버를 경유할 수 있어 해당 주소 차단만으로 대응을 끝내서는 안 된다.
관리자는 우선 우커머스 도매 리드 캡처를 2.0.3.2 이상 버전으로 업데이트해야 한다.
이미 취약한 버전을 운영했다면 워드프레스의 업로드 디렉터리를 중심으로 최근 생성된 비정상적인 .php 파일이 있는지 확인할 필요가 있다. shell.php와 같은 파일뿐 아니라 이름이 다른 PHP 파일도 점검해야 한다.
웹서버 로그에서 /wp-admin/admin-ajax.php로 들어온 요청 가운데 action 값이 wwlc_file_upload_handler로 설정된 기록도 확인해야 한다. 알 수 없는 관리자 계정이 생성됐는지, 추가 백도어나 악성 플러그인이 설치됐는지도 함께 살펴봐야 한다.
침해 흔적이 발견됐다면 단순히 웹셸 하나를 삭제하는 것으로 끝내기 어렵다. 공격자가 다른 백도어와 관리자 계정을 만들어 놓았을 가능성이 있기 때문이다. 안전한 백업을 이용한 복구와 함께 계정, 플러그인, 파일 변경 내역을 전반적으로 점검할 필요가 있다.
60만개 사이트 사용하는 '더 이벤트 캘린더'도 치명적 RCE 취약점
워드프레스에서 널리 사용하는 더 이벤트 캘린더(The Events Calendar) 플러그인에서도 비슷한 시기에 인증 없이 원격 코드 실행(RCE, 원격에서 서버의 임의 명령을 실행할 수 있는 공격)이 가능한 치명적 취약점 두 건이 공개됐다.
취약점은 CVE-2026-78006과 CVE-2026-78159로, 모두 CVSS 9.8점이다. 더 이벤트 캘린더는 60만개가 넘는 워드프레스 사이트에서 사용되고 있다. 두 취약점은 2026년 8월 21일과 23일 각각 발견됐으며 9월 14일 기술 분석 내용이 공개됐다.
CVE-2026-78006은 6.17.4 이하 버전에 영향을 준다. 공격자는 PHP 객체 처리 과정의 검증을 우회해 서버에서 임의 코드를 실행할 수 있다. 수정 버전은 6.17.4.1이다.
CVE-2026-78159는 6.17.3 이하 버전에 영향을 준다. 위젯의 classes 값을 처리하는 과정에서 검증이 충분하지 않아 공격자가 서버의 PHP 함수를 실행할 수 있었다. 이 문제는 6.17.3.1에서 수정됐다.
두 취약점 모두 공격 대상 이벤트 페이지에서 댓글 기능이 활성화돼 있어야 한다는 조건이 있다. 그러나 관리자에게 댓글 승인을 받을 필요는 없다. 공격자가 악성 내용을 댓글로 제출한 뒤 승인 대기 중인 자신의 댓글을 미리 보는 기능을 이용해 취약한 코드가 실행되도록 만들 수 있기 때문이다.
공격에 성공하면 서버 명령 실행이나 관리자 비밀번호 변경으로 이어질 수 있다. 이후 악성 플러그인을 설치해 사이트를 완전히 장악하는 것도 가능하다. 개발사 스텔라WP(StellaWP)는 관련 문제를 수정했으며, 운영자는 더 이벤트 캘린더 6.17.4.1 이상 버전으로 업데이트하는 것이 안전하다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
