WordPress의 핵심 취약점 CVE-2026-87902가 패치 배포 5시간 만에 실제 공격에 악용되기 시작했으며, 공격 규모는 하루 만에 10배로 급증했습니다. 이 취약점은 로그인 없이도 원격 코드 실행(RCE, 공격자가 서버를 원격으로 마음대로 조종하는 공격)이 가능한 경로 탐색(path traversal) 버그로, 심각도 점수가 10점 만점에 9.2점입니다. 현재 공격자들은 서버의 /tmp 폴더 등에 쉘 명령을 실행하는 악성 PHP 파일을 심는 단계까지 진행하고 있습니다. WordPress를 즉시 7.1.2 버전으로 업데이트하고, 서버 로그에서 의심스러운 접근 여부를 확인해야 합니다.
WordPress의 CVE-2026-87902 취약점을 악용한 공격이 패치 배포 직후부터 시작되어, 정찰 단계를 넘어 서버에 쉘 명령 실행 악성 PHP 파일을 생성하는 단계로 확대됨.
인증 없이 원격 코드 실행(RCE) 가능. Docker 공식 PHP 이미지 및 PHP 8.5 미만 cPanel 기본 설정 환경이 직접 영향을 받으며, /tmp 및 /var/tmp에 악성 파일이 투하되고 있음.
WordPress의 경로 탐색(path traversal) 버그로 인해 비인증 공격자가 get_page_template() 함수를 통해 활성 테마 디렉터리 외부의 임의 PHP 파일을 포함시킬 수 있음. pearcmd.php와 같은 파일이 register_argc_argv 설정이 활성화된 환경에서 악용됨.
WordPress 7.1.2로 즉시 업데이트(4.7 버전까지 백포트 제공). 악성 IP 3개(169.58.48.193, 169.58.48.195, 2001:df1:e8c0::106b) 차단. 서버 로그 및 /tmp, /var/tmp 내 의심 파일 점검.
패치가 존재하나 이미 적극적인 악용이 진행 중이므로 즉시 업데이트가 필수. 로그에서 pagename 파라미터의 이중 인코딩 경로 탐색 패턴을 탐지하고, wp-pear-rce-flag.php, poc87902.php 등의 파일명으로 생성된 악성 파일 존재 여부를 확인해야 함.
본문
위협 행위자들이 CVE-2026-87902에 취약한 WordPress 사이트를 탐색하는 단계에서 나아가, 쉘 명령을 실행하는 파일을 디스크에 직접 기록하는 단계로 공격을 확대하고 있다.
초기 공격 트래픽은 정찰 목적이었으며, WordPress 7.1.2에 패치가 배포된 지 채 5시간도 지나지 않아 시작됐다. 이후 악성 활동은 10배 증가했으며, 공격자들은 현재 페이로드(악성 코드) 전달을 시도하고 있다.
WordPress 보안 기업 Patchstack은 9월 22일 17:44 UTC부터 자사가 보호하는 여러 사이트를 겨냥해 소수의 IP 주소에서 최초 악성 요청이 발생한 것을 관측했다고 보고했다.
보안 연구원 Robert Ressl이 발견한 이 취약점은 특정 조건 하에서 원격 코드 실행(RCE)으로 이어질 수 있는 비인증 경로 탐색(path traversal) 버그다.
WordPress 보안팀은 CVE-2026-87902의 심각도를 10점 만점에 9.2점으로 평가하며 치명적(critical) 등급을 부여했다.
공식 권고문은 "비인증 공격자가 get_page_template()의 페이지 템플릿 처리 과정을 조작해, 활성 테마 디렉터리 외부에 있는 읽기 가능한 로컬 .php 파일을 포함시킬 수 있다"고 밝혔다.
RCE가 가능하려면 다음 조건이 충족되어야 한다:
- 활성 부모 또는 자식 테마에
page-로 시작하는 이름(예:page-templates)의 최상위 디렉터리가 존재해야 하며, 공격자는 웹 서버가 읽을 수 있는 로컬 .PHP 파일을 표적으로 삼아야 한다. - 포함되는 파일은 웹 서버 계정이 읽을 수 있어야 한다. 권고문은 PHP의
register_argc_argv설정이 활성화된 경우pearcmd.php를 예시로 들었다.
WordPress 권고문에 따르면, Docker 공식 PHP 이미지와 PHP 8.5 미만 버전을 사용하는 기본 cPanel 설정이 영향을 받는다.
WordPress는 어제 버전 7.1.2 릴리스를 통해 CVE-2026-87902를 수정했으며, 취약점의 치명적 심각도를 고려해 4.7 버전까지의 모든 브랜치에 수정 사항이 백포트(backport)됐다. 4.6 이전 버전은 이번 취약점에 대한 수정이 제공되지 않는다.
Patchstack은 관측된 정찰 활동에서 공격자들이 취약한 사이트를 식별하기 위해 일반적인 WordPress 코어 파일을 포함시키려 시도했다고 보고했다.
오늘부터 연구원들은 해당 취약점 관련 트래픽이 10배 증가했으며, 디스크에 파일을 기록하는 단계가 포함되어 있음을 확인했다.
"세 번째 단계에서는 config-show가 config-create로 교체되는데, pearcmd는 이를 통해 공격자가 지정한 위치에 원하는 내용의 파일을 기꺼이 기록한다."
일부 페이로드는 해당 호스트가 CVE-2026-87902를 통해 공격 가능하다는 것을 표시하는 문자열만 기록한다. 그러나 연구원들은 "접근 시 쉘 명령을 실행하는 짧은 태그를 기록하는" 페이로드도 확인했으며, 이는 악의적인 활동을 나타낸다.
파일들은 /tmp 및 /var/tmp에 전달되며, wp-pear-rce-flag.php, poc87902.php, luci_<random>.php, zeta_<random>.php와 같은 이름을 가진다.
보안 기업이 실제 작동하는 요청 예시를 공개하진 않았지만, 관측된 탐색 시도는 pagename 파라미터에 이중 인코딩된 경로 탐색 시퀀스를 유효한 page_id와 함께 사용한다고 경고했다.
차단 목록에 추가해야 할 소스 IP는 169.58.48.193, 169.58.48.195, 2001:df1:e8c0::106b이다.
CVE-2026-87902의 적극적인 악용을 감안해, 웹사이트 관리자는 가능한 한 빨리 WordPress 버전 7.1.2로 업데이트하고 악성 활동 여부를 로그에서 확인해야 한다.
AI 기반 공격에 대한 보안 청사진 수립
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 함께하는 2시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 중단해야 할 것이 무엇인지, 그리고 머신 속도로 검증·결정·수정·재검증하는 방법을 알아봅니다.
자리를 예약하세요
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
