WordPress가 플러그인 업데이트를 사용자에게 배포하기 전에 자동으로 보안 검사를 실시하는 새로운 시스템을 도입했습니다. 이 시스템은 업데이트가 배포되기 전 일정 대기 시간(쿨다운) 동안 AI 모델과 Jetpack Scan을 활용해 악성 코드나 취약점 여부를 분석합니다. 위험 점수가 높게 나온 플러그인은 담당 팀의 개입 없이도 자동으로 배포가 차단됩니다. 실제로 이미 약 2만 명의 사용자가 활성화한 플러그인에 백도어가 삽입된 사례가 이 시스템 덕분에 배포 전 차단된 바 있습니다. WordPress 사이트 관리자와 플러그인 개발자 모두 이 변화에 주목할 필요가 있습니다.
WordPress가 플러그인 업데이트 배포 전 자동 보안 심사 시스템을 도입했다. 2026년 7월 28일, 약 2만 개 사이트에 설치된 플러그인의 업데이트에서 백도어가 발견됐으나 배포 전 차단에 성공했다.
악성 업데이트가 수만 명의 WordPress 사이트 운영자에게 자동 배포되는 공급망 공격 위험이 줄어든다. 위험 점수가 높은 플러그인은 자동 배포가 중단된다.
기존에는 플러그인 최초 등록 시에만 검토가 이루어졌고, 이후 업데이트는 별도의 검증 없이 곧바로 배포됐다. 이 '일관된 검토 단계의 부재'가 악성 코드 삽입 공격의 빌미가 됐다.
WordPress는 'Protect The Shire' 이니셔티브 하에 6시간 쿨다운 기간을 도입하고, 해당 기간 동안 AI 및 Jetpack Scan으로 자동 분석해 고위험 릴리스를 자동 차단한다. 개발자는 문제를 수정한 신규 릴리스를 게시해야 차단이 해제된다.
WordPress 플러그인·테마 개발자는 WordPress Coding Standards와 PHPCS 규칙을 준수하고, 인증 없는 엔드포인트·비정제 쿼리·런타임 코드 평가 등 고위험 패턴을 제거해야 자동 차단을 예방할 수 있다. 사이트 관리자 입장에서는 자동 업데이트 안전성이 한층 높아진다.
본문
Ravie Lakshmanan 2026년 9월 14일 | 웹 보안 / 취약점
WordPress가 모든 플러그인 릴리스를 WordPress.org 업데이트 API를 통해 배포하기 전, 잠재적 보안 문제를 분석하고 위험 요소가 없는지 확인하기 위한 자동 보안 심사를 도입한다고 발표했다.
WordPress 공식 플러그인 저장소 팀 공동 리더인 David Perez는 "새 플러그인은 디렉터리에 등재되기 전 검토를 거치지만, 이후 업데이트는 지속적으로 배포된다"며 "오늘 안전한 플러그인이 향후 릴리스에서 취약점이나 악성 코드를 도입할 수 있다"고 말했다.
WordPress는 릴리스 커밋과 플러그인 배포 사이에 '일관된 검토 단계'가 없어 악성 공격의 문을 열어줄 수 있다고 지적했다.
이 CMS(콘텐츠 관리 시스템) 플랫폼은 자동 심사 시스템이 2026년 7월 28일, 약 2만 개의 활성 설치를 보유한 플러그인의 릴리스에 삽입된 백도어를 탐지했다고 밝혔다. 해당 릴리스가 쿨다운 기간 안에 있었기 때문에 손상된 버전은 WordPress.org 업데이트 API를 통해 배포되지 않았다.
WordPress 보안 기업 Wordfence가 플러그인 팀에 해당 업데이트를 알린 지 26분 만에 이 플러그인은 다운로드가 중단됐다. WordPress는 플러그인의 이름을 공개하지 않았다.
2026년 6월 5일부터 모든 WordPress 플러그인과 테마는 'Protect The Shire'라는 새로운 보안 이니셔티브의 일환으로 자동 업데이트를 통한 배포 전 쿨다운 기간을 거치게 됐다. 이는 악성 업데이트가 최종 사용자에게 즉시 전달되지 않도록 프로세스에 일정한 마찰을 도입하기 위한 것이다. 쿨다운 기간은 처음 도입 당시의 24시간에서 현재 6시간으로 단축됐다.
이번 조치는 또 다른 핵심 보안 공백을 메우는 것을 목표로 한다: 플러그인이나 테마 릴리스의 고위험 점수는 플러그인 팀의 개입 없이 자동으로 배포를 중단시켜야 한다는 것이다. 전체 프로세스는 다음 단계를 거친다:
- 쿨다운 기간 동안 각 릴리스의 변경 사항이 WordPress.org에서 AI 모델과 Jetpack Scan에 의해 분석된다.
- 결과는 교차 검증되어 보안 점수로 통합된다. 점수가 높을수록 잠재적 위험이 높다는 것을 의미한다.
- 심사가 완료되면 위험 점수가 높은 릴리스는 자동으로 차단되고, 기준치 이하인 릴리스는 정상 프로세스를 계속 진행한다.
- 플러그인 커미터(업로드 권한을 가진 개발자)는 발견된 내용이 담긴 이메일을 받는다. 이메일은 플러그인이 차단된 경우에만 발송된다.
다만, 높은 위험 점수가 반드시 악의적인 의도를 나타내는 것은 아니라는 점에 주의해야 한다. 점수는 의도적인 악성코드를 탐지하는 것과 마찬가지로 의도치 않게 도입된 보안 결함도 반영하기 때문이다.
후속 댓글에서 Perez는 보안 심사가 "모든 보안 감사에서 다루는 것과 동일한 취약점 유형을 검토한다"고 설명하며, 개발자들에게 WordPress Coding Standards와 PHP_CodeSniffer(PHPCS) 규칙을 준수해 코드를 검증하고 코드 품질을 보장할 것을 촉구했다. WooCommerce 확장 기능을 게시하는 개발자에게는 Quality Insights Toolkit(QIT) 테스트 플랫폼 사용이 권장된다.
위험 점수를 높일 수 있는 기타 패턴은 다음과 같다:
- 권한 검사 없는 REST, AJAX 또는 admin-post 엔드포인트 (nonce(일회성 토큰)만으로는 인증이 되지 않음)
$wpdb->prepare()없이 구성된 쿼리- 요청 데이터로부터 구성된 파일 경로, 업로드, 삭제 또는 include
- 요청 데이터나 원격 응답에 대한
unserialize()사용 - 구독자 또는 비인증 사용자가 접근 가능한 엔드포인트에서 작성되는 옵션, 사용자 메타 또는 설정
- 런타임에 가져오거나 실행되는 코드, 그리고 난독화되거나 압축된 코드
릴리스가 차단되면, 개발자가 제한을 해제할 수 있는 유일한 방법은 발견된 문제를 검토하고, 수정하여 새 릴리스를 게시하는 것이다. 새 릴리스의 점수가 고위험 기준치 이하이면 정상 쿨다운 프로세스를 계속 진행한다.
Perez는 "발견 내용이 올바르지 않다고 판단되면 저자는 플러그인 팀에 문의할 수 있다"며 "팀이 많은 양의 검토를 처리하고 있으므로, 수정된 릴리스를 게시하는 것이 이의 신청에 대한 수동 검토를 기다리는 것보다 거의 항상 빠르다는 점을 이해해 주시기 바란다"고 말했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
