워드프레스(WordPress)용 인기 플러그인 Elementor Pro에서 심각한 보안 취약점(CVE-2026-32475)이 발견되어 실제 공격에 악용되고 있습니다. 공격자는 파일 업로드 기능의 검증 오류를 이용해 악성 PHP 파일(웹셸)을 서버에 몰래 올린 뒤 원격에서 마음대로 명령을 실행할 수 있습니다. Elementor Pro는 전 세계 600만 개 이상의 사이트에서 사용 중이며, 패치 당일인 8월 19일부터 이미 공격이 시작되어 현재까지 약 19만 건의 공격 시도가 차단되었습니다. 취약한 버전(4.2.1 이하)을 사용 중인 관리자는 즉시 4.2.2 이상으로 업그레이드해야 하며, 서버 내 특정 디렉터리에 PHP 파일이 있는지 확인해 침해 여부를 점검해야 합니다.
Elementor Pro 플러그인의 파일 업로드 유효성 검증 우회 취약점(CVE-2026-32475)이 패치 당일부터 실제 공격에 악용되고 있으며, Wordfence는 8월 19~23일 사이에만 약 19만 건의 공격 시도를 차단했다.
공격자가 웹서버에 악성 PHP 웹셸을 업로드해 원격 명령 실행(RCE)이 가능하며, 600만 개 이상의 설치 사이트 중 파일 업로드 필드가 포함된 폼을 사용하는 사이트 전체가 위험에 노출된다.
Elementor Pro 폼의 파일 업로드 배열 처리 시 첫 번째 요소가 비어 있으면 이후 파일에 대한 유효성 검증이 중단되는 로직 결함으로, 버전 4.2.1 이하에서 발생한다.
Elementor는 8월 19일 버전 4.2.2를 출시해 취약점을 패치했다. Wordfence WAF가 공격을 차단 중이며, 공격에 사용된 IP 주소 목록도 공개했다. 관리자는 즉시 업그레이드하고 서버를 점검해야 한다.
Elementor Pro를 4.2.2 이상으로 즉시 업그레이드하고, /wp-content/uploads/elementor/forms/ 디렉터리에 .php 파일이 존재하는지 확인한다. 해당 경로는 폼 제출 파일 저장용이므로 PHP 파일이 존재하면 침해 지표(IoC)로 간주하고 즉시 조치해야 한다.
본문
최근 패치된 WordPress용 Elementor Pro 플러그인의 심각한 취약점(CVE-2026-32475)이 실제 공격에 악용되고 있습니다. 공격자는 이 취약점을 이용해 웹셸 페이로드를 서버에 업로드하고 임의 명령을 실행하고 있습니다.
Elementor Pro는 드래그 앤 드롭 인터페이스로 웹사이트를 구축할 수 있는 인기 WordPress 플러그인으로, 활성 설치 수가 600만 개를 넘습니다.
CVE-2026-32475 취약점은 8월 19일에 패치되었습니다. 이후 Defiant의 Wordfence 웹 애플리케이션 방화벽(WAF)은 자사 고객을 대상으로 한 약 20만 건에 가까운 공격 시도를 차단했습니다.
이 문제는 Elementor Pro 폼의 파일 업로드 배열에 대한 잘못된 유효성 검증에서 비롯되며, 버전 4.2.1 이하에서 발생합니다.
공격자는 첫 번째 배열 요소로 빈 파일을, 두 번째 요소로 악성 PHP 파일을 제출함으로써 플러그인이 이후 파일에 대한 검증을 중단하도록 유도할 수 있습니다.
업로드된 페이로드는 /wp-content/uploads/elementor/forms/ 경로에 저장되며, 이후 해당 파일에 직접 접근해 원격으로 명령을 실행할 수 있습니다.
WordPress 사이버보안 플랫폼 Patchstack은 지난달 공격자가 이 취약점을 악용해 임의의 PHP 파일을 업로드하고 서버에서 PHP 코드 실행을 유발할 수 있다고 경고한 바 있습니다.
공격은 사이트에 파일 업로드 필드가 하나 이상 포함된 Elementor Pro 폼 위젯이 게시되어 있을 때만 가능한데, 이는 흔한 구성 방식입니다.
Wordfence는 전날 CVE-2026-32475를 악용하는 공격 활동이 Elementor가 취약점을 수정한 버전 4.2.2를 출시한 날인 8월 19일부터 시작되었다고 알렸습니다.
Wordfence는 "공격자가 폼의 파일 업로드 필드를 배열로 제출하는데, 첫 번째 요소는 비어 있고 두 번째 요소에는 .php 파일명을 가진 PHP 페이로드가 담겨 있습니다. 이 구조가 검증 우회를 유발합니다"라고 밝혔습니다.
악성 요청 예시
출처: Wordfence
이 보안 업체는 "업로드된 PHP 파일은 공격자가 지정한 .php 확장자를 가진 무작위 생성 파일명으로 /wp-content/uploads/elementor/forms/ 디렉터리에 저장되며, 공격자는 해당 파일에 직접 요청을 보내 서버에서 임의 명령을 실행할 수 있습니다"라고 설명했습니다.
Wordfence는 8월 19일부터 23일 사이 공격 활동이 증가했음을 확인했으며, 19만 건이 넘는 공격 시도를 차단했다고 보고했습니다.
수천 건의 공격을 시도한 IP 주소 목록도 함께 공개되어, 방어자들이 차단 목록에 추가할 수 있도록 했습니다.
관리자는 Elementor Pro 4.2.2 이상으로 즉시 업그레이드하고, /wp-content/uploads/elementor/forms/ 디렉터리에 불법 PHP 파일이 없는지 점검해야 합니다.
해당 경로는 폼 제출 파일을 저장하는 용도이므로, PHP 파일이 존재할 경우 침해 지표(IoC)로 강력히 의심해야 하며 즉시 정리 작업을 수행해야 합니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
