워드프레스에서 널리 쓰이는 플러그인·테마 5종에서 CVSS 9.8~10.0에 달하는 치명적 취약점이 공개됐습니다. 영향을 받는 제품은 WPMU DEV 대시보드, 아바다(테마), 트랜슬레이트프레스, 포즈, 기브WP이며, 로그인하지 않은 외부 공격자가 관리자 계정을 빼앗거나 서버에서 마음대로 명령을 실행(RCE·원격코드실행)할 수 있습니다. 각 개발사는 이미 수정 버전을 배포했기 때문에, 해당 플러그인·테마를 사용 중인 워드프레스 운영자는 지금 즉시 최신 버전으로 업데이트해야 합니다. 자동 업데이트 설정만 믿지 말고, 실제 적용된 버전 번호를 직접 확인하는 것이 중요합니다.
워드프레스 플러그인·테마 5종(WPMU DEV 대시보드·아바다·트랜슬레이트프레스·포즈·기브WP)에서 CVSS 9.8~10.0의 치명적 취약점 5건이 공개됐다. 비인증 공격자가 관리자 권한을 탈취하거나 서버에서 임의 코드를 실행할 수 있다.
공격에 성공하면 사이트 완전 장악, 관리자 계정 탈취, 서버 내 임의 명령 실행이 가능하다. 기브WP(CVSS 10.0)는 공개된 기부 양식만 있어도 비인증 원격코드실행이 가능하며, 포즈는 사이트 소유자 계정의 비밀번호까지 변경할 수 있다.
SSO 인증 우회(WPMU DEV), 다단계 파일 쓰기 체인(아바다), 번역 데이터 내 비밀번호 재설정 URL 노출(트랜슬레이트프레스), AJAX 접근통제 미흡(포즈), PHP 객체 역직렬화(기브WP) 등 제품별로 원인이 다양하다.
각 개발사가 수정 버전을 배포했다. WPMU DEV 대시보드 5.0.2, 아바다 7.16.1·퓨전 빌더 3.16.1, 트랜슬레이트프레스 3.3.2, 포즈 3.3.9.1, 기브WP 4.16.7.2로 즉시 업데이트가 필요하다. WPMU DEV는 패치 전까지 허브 SSO 비활성화를 권고한다.
비인증 공격이 가능한 취약점이 다수이므로 인터넷에 공개된 워드프레스 사이트는 자동 업데이트 적용 여부를 맹신하지 말고 실제 플러그인·테마 버전을 직접 확인해야 한다. 플러그인 설치 여부뿐 아니라 활성화된 기능 설정(SSO, 결제 게이트웨이, 자동 문자열 저장 등)도 함께 점검해야 한다.
본문
워드프레스에서 널리 사용되는 플러그인과 테마에서 사이트 관리자 권한 탈취나 원격코드실행으로 이어질 수 있는 치명적 취약점 5종이 잇따라 공개됐다. 영향을 받는 제품은 WPMU DEV 대시보드, 아바다, 트랜슬레이트프레스, 포즈, 기브WP다.
공개된 취약점의 CVSS 점수는 9.8~10.0이다. 일부 취약점은 로그인하지 않은 외부 공격자가 관리자 계정을 장악할 수 있으며, 기브WP와 아바다 취약점은 조건이 충족되면 서버에서 임의의 코드를 실행할 수 있다.
다만 제품마다 공격에 필요한 조건이 다르기 때문에 해당 플러그인을 설치했다는 이유만으로 곧바로 공격이 가능한 것은 아니다. 운영자는 사용 중인 버전과 설정을 확인한 뒤 수정 버전으로 업데이트해야 한다.
WPMU DEV 대시보드, SSO 인증 우회로 관리자 권한 탈취
WPMU DEV 대시보드의 CVE-2026-76581은 CVSS 9.8의 인증 우회 취약점이다. 2026년 8월 19일 보안 연구 과정에서 발견됐으며, 8월 27일 관련 내용이 공개됐다.
취약점은 5.0.1 이하 버전에 영향을 준다. 워드프레스 사이트가 WPMU DEV와 연결돼 있고 허브 싱글사인온(Hub SSO)이 활성화돼 있으며 SSO 계정이 관리자와 연결된 환경에서 문제가 발생한다.
공격자가 별도의 워드프레스 계정 없이 인증 절차를 우회해 관리자 세션을 확보할 수 있다. 관리자에게 플러그인이나 테마 코드를 수정할 권한까지 허용돼 있다면 원격코드실행으로 이어질 가능성도 있다.
개발사는 8월 24일 수정 버전인 WPMU DEV 대시보드 5.0.2를 배포했다. 즉시 업데이트가 어렵다면 패치 전까지 허브 SSO 기능을 비활성화하는 것이 권고된다.
아바다·퓨전 빌더 결합 환경서 원격코드실행
워드프레스 테마 아바다와 퓨전 빌더(Fusion Builder)에서는 CVE-2026-18431이 확인됐다. CVSS 점수는 9.8이다.
취약점은 아바다 7.16 이하와 퓨전 빌더 3.16 이하를 함께 사용하는 환경에 영향을 준다. 공격자는 여러 단계의 인증·입력값 검증 문제를 연결해 서버에 원하는 파일을 작성할 수 있고, 이를 PHP 파일 실행으로 이어가 서버를 장악할 수 있다.
이 공격은 단일 보안 오류가 아니라 6개 취약 요소가 연결되면서 완성되는 구조다. 아바다와 퓨전 빌더가 모두 설치·활성화돼 있어야 하며 특정 관리자 작성 콘텐츠가 존재해야 하는 조건도 있다.
취약점은 7월 30일 발견됐으며 8월 5일 개발사에 전달됐다. 개발사는 8월 25일 아바다 7.16.1과 퓨전 빌더 3.16.1을 공개했다. 두 제품을 함께 최신 버전으로 업데이트해야 한다.
트랜슬레이트프레스, 관리자 비밀번호 재설정 링크 노출
다국어 사이트 구축 플러그인 트랜슬레이트프레스에서는 CVE-2026-19632가 발견됐다. CVSS 점수는 9.8이며 3.3.1 이하 버전이 영향을 받는다.
문제는 관리자의 비밀번호 재설정 URL이 번역 데이터에 저장되면서 외부에 노출될 수 있다는 점이다. 공격자가 해당 URL에 포함된 재설정 키와 로그인 정보를 확보하면 관리자 비밀번호를 변경해 사이트를 장악할 수 있다.
다만 공격에는 조건이 필요하다. 자동 문자열 저장 기능이 활성화돼 있고, 공격 대상 관리자 계정의 언어가 사이트에 공개된 보조 언어로 설정돼 있어야 한다.
취약점은 8월 11일 접수됐고 8월 12일 개발사에 전달됐다. 개발사 코즈모스랩스(Cozmoslabs)는 8월 13일 수정 버전인 트랜슬레이트프레스 3.3.2를 배포했다.
포즈, 인증 없이 관리자 권한 상승 가능
콘텐츠 유형과 사용자 정의 필드를 관리하는 포즈에서는 CVE-2026-19598이 발견됐다. CVSS 점수는 9.8이며 3.3.9 이하 버전이 영향을 받는다.
취약점은 관리자용 AJAX 요청 처리 과정의 접근통제 문제에서 발생한다. 인증이나 권한 확인에 실패해도 특정 조건에서 요청 처리가 완전히 종료되지 않아 보호 장치를 우회할 수 있었다.
이를 악용하면 로그인하지 않은 공격자가 관리자 권한을 획득하거나 사이트 소유자를 포함한 사용자 계정의 비밀번호를 변경할 수 있다.
취약점은 8월 10일 접수됐으며 8월 14일 패치가 배포됐다. 최신 3.x 계열의 수정 버전은 3.3.9.1이다. 이전 주요 버전에도 패치가 적용돼 3.2.8.3, 3.1.4.2, 3.0.10.4, 2.9.19.4, 2.8.23.4가 각각 배포됐다.
기브WP는 CVSS 10.0…서버 명령 실행까지 가능
기부·결제 기능을 제공하는 기브WP에서는 이번 취약점 가운데 가장 높은 CVSS 10.0의 CVE-2026-82222가 확인됐다.
4.16.7.1 이하 버전이 영향을 받으며 로그인하지 않은 공격자가 PHP 객체 주입(PHP Object Injection)을 이용해 서버에서 임의의 명령을 실행할 수 있다. 공개된 기부 양식이 하나 이상 있고 활성화된 결제 게이트웨이가 존재하는 사이트가 공격 대상이 될 수 있다.
문제의 핵심은 외부에서 조작할 수 있는 직렬화된 객체 데이터가 저장된 뒤 다시 역직렬화되는 과정에 있었다. 플러그인에 포함된 코드까지 연결되면서 공격자가 원격코드실행에 도달할 수 있는 공격 경로가 만들어졌다.
취약점은 7월 28일 처음 보고됐으며 같은 날 개발사에 전달됐다. 여러 차례 수정 작업을 거쳐 8월 27일 기브WP 4.16.7.2가 배포됐고, 보안 세부 내용은 8월 28일 공개됐다.
워드프레스 운영자는 이번 취약점과 관련해 제품 설치 여부만 확인할 것이 아니라 실제 버전과 기능 설정도 함께 점검해야 한다. WPMU DEV 대시보드는 5.0.2 이상, 트랜슬레이트프레스는 3.3.2 이상, 포즈는 3.3.9.1 등 수정 버전, 아바다와 퓨전 빌더는 각각 7.16.1과 3.16.1 이상, 기브WP는 4.16.7.2 이상으로 업데이트하는 것이 필요하다.
특히 이번 취약점 가운데 상당수는 공격자가 워드프레스 계정을 가지고 있지 않아도 접근할 수 있다. 인터넷에 공개된 워드프레스 사이트라면 플러그인과 테마의 자동 업데이트 여부만 믿기보다 실제 적용 버전을 직접 확인하는 것이 안전하다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
