WordPress가 2026년 9월 17일 버전 7.1.1을 배포하며 'Click2Shell'이라 불리는 새로운 취약점을 패치했습니다. 이 취약점은 로그인된 관리자가 공격자가 만든 링크를 열기만 해도, 아무것도 누르지 않았는데 WordPress.org 공식 테마가 자동으로 설치되는 방식으로 작동합니다. 설치된 테마 자체는 비활성 상태라 겉으로 티가 나지 않지만, 해당 테마에 별도 취약점이 있을 경우 공격자가 서버에서 원하는 코드를 실행하는 연쇄 공격(RCE, 원격 코드 실행)으로 이어질 수 있습니다. 단독 취약점의 위험도는 CVSS 7.1(높음), 코드 실행까지 연계하면 9.6(심각)입니다. 현재까지 실제 공격에 악용된 사례는 없으며, WordPress는 즉시 업데이트를 권고하고 있습니다.
보안업체 pwn.ai가 WordPress 코어에서 Click2Shell 취약점을 발견했습니다. 로그인된 관리자가 특수하게 조작된 링크를 열면, 클릭 없이도 공격자가 지정한 WordPress.org 공식 테마가 자동 설치됩니다.
WordPress 6.0 이상 버전이 영향을 받습니다. 단독 취약점 기준 CVSS 7.1(고위험)이며, 설치된 테마의 추가 취약점과 연계 시 서버 원격 코드 실행(CVSS 9.6, 심각)이 가능합니다.
WordPress 코어의 두 컴포넌트가 동일한 URL을 다르게 해석하는 로직 결함이 원인입니다. 공격자가 URL에 특수 문자를 삽입해 브라우저가 설치 버튼을 자동으로 클릭하도록 유도하며, 이미 로그인된 관리자의 세션 권한과 보안 토큰이 그대로 사용됩니다.
2026년 9월 17일 WordPress 7.1.1이 배포되어 취약점이 수정됐습니다. 수정 사항은 WordPress 4.7 이상 지원 브랜치에 백포트됩니다. 별도의 임시 우회책은 없으며, 자동 업데이트가 설정된 사이트는 자동으로 적용됩니다.
즉시 WordPress 7.1.1 또는 해당 브랜치의 최신 보안 업데이트를 적용해야 합니다. 공격이 성립하려면 로그인된 관리자가 공격자의 링크를 직접 열어야 하므로, 업데이트 전까지는 관리자 계정으로 접속 중 의심스러운 링크를 클릭하지 않도록 주의가 필요합니다.
본문
Swati Khandelwal · 2026년 9월 18일 · 취약점 / 웹 보안
WordPress가 오늘 코어 소프트웨어의 새로운 취약점 묶음에 대한 패치를 배포했습니다. 그중 하나는 로그인된 관리자가 조작된 웹 링크를 열기만 하면, 아무것도 누르지 않아도 WordPress.org 공식 디렉터리에서 테마가 자동으로 설치되도록 하는 취약점입니다.
이 취약점을 보고한 보안업체 pwn.ai의 연구팀은 이 공격 체인을 Click2Shell이라 부릅니다. 취약점 단독으로는 공격자가 선택한 실제 테마만 설치되지만, 연구팀은 이를 해당 테마의 별도 취약점과 연계해 서버에서 공격자 코드를 실행할 수 있음을 시연했습니다.
수정 패치는 9월 17일 WordPress 7.1.1에 포함되어 배포됐습니다. 보안 릴리스인 만큼 WordPress는 즉시 업데이트를 권고하고 있습니다. 현재 이 취약점이 실제 공격에 사용됐다는 징후는 없습니다.
설치된 테마는 비활성 상태로 유지되므로 사이트 외관은 그대로이고 겉으로는 아무 이상이 없어 보입니다. 코드 실행에 이르려면 설치된 테마에 존재하는 별도의 취약점이 필요합니다. pwn.ai가 코어 버그 단독에 대해 밝혔듯이, "코어 버그 자체는 임의의 테마 ZIP을 받아들이지 않습니다."
이 취약점이 작동하는 이유는 WordPress의 두 부분이 같은 링크를 서로 다르게 해석하기 때문입니다. WordPress.org 디렉터리는 링크의 값을 일반 테마 이름으로 처리해 실제 테마를 반환하지만, 관리자의 브라우저는 원래 텍스트—구두점까지 포함해—를 페이지의 특정 요소를 선택하는 코드 내부에서 그대로 재사용합니다. 공격자가 링크에 추가한 문자들이 해당 코드를 설치 버튼으로 유도하고, WordPress 자체 스크립트가 그것을 클릭하게 됩니다.
관리자가 이미 로그인된 상태이기 때문에 설치에 필요한 권한과 보안 토큰은 해당 세션이 그대로 제공하므로, 공격자는 이 둘 중 어느 것도 직접 제공할 필요가 없습니다.
설치된 테마가 항상 아무것도 하지 않는 것은 아닙니다. WordPress가 Customizer 도구에서 미리보기를 구성할 때, 테마가 활성화되기 전에도 해당 테마의 PHP 코드를 불러올 수 있습니다.
pwn.ai가 사용한 테마인 Mobile Repair Zone에는 두 번째 취약점이 존재했습니다. 요청에서 웹 주소를 가져와 패키지를 내려받고 코드를 실행하는 백그라운드 핸들러로, 방문자 권한이나 보안 토큰을 전혀 검증하지 않았습니다. 강제 설치 이후 해당 핸들러를 연계하면 서버에서 공격자의 코드가 실행됐습니다.
연구팀은 강제 설치 취약점 단독을 CVSS 점수 7.1의 고위험(High)으로, 코드 실행까지 이어지는 전체 체인을 CVSS 9.6의 심각(Critical)으로 평가했습니다. WordPress는 별도의 심각도 등급을 공개하지 않았으며, 릴리스 노트에서는 이 문제를 "특수하게 조작된 URL이 WordPress.org의 비활성 테마를 자동으로 설치하고 미리보기할 수 있다"고 설명했습니다. 아직 CVE 식별자는 부여되지 않았으나, pwn.ai에 따르면 WordPress가 추후 추가할 계획입니다.
WordPress는 7.1.1에서 이 취약점을 수정했으며, 이번 보안 릴리스의 수정 사항은 4.7까지 지원 브랜치에 백포트됩니다. 릴리스 노트는 버전 6.0부터 수정 직전 버전까지 이 취약점의 영향을 받음을 확인하고 있습니다. 사이트 운영자는 7.1.1 또는 해당 브랜치의 대응 업데이트를 설치해야 하며, 자동 업데이트가 설정된 사이트는 자동으로 적용됩니다.
즉시 업데이트가 어려운 경우, WordPress와 pwn.ai 모두 별도의 임시 우회책을 제공하지 않았다는 점에 유의하십시오. 또한 공격이 성립하려면 로그인된 관리자가 공격자의 링크를 직접 열어야 합니다. WordPress 코어를 업데이트하면, 어느 테마를 사용 중이든 상관없이 시연된 공격 경로가 차단됩니다.
Click2Shell은 이 업체가 최근 몇 주 사이에 발견한 WordPress 코어 취약점 중 처음이 아닙니다. 8월에도 WordPress는 pwn.ai가 발견한 로그인 화면의 유사한 취약점을 패치했으며, 해당 취약점 역시 코드 실행으로 연계됐고, WordPress는 그때도 연구자들보다 위험을 좁게 설명했습니다.
7월에 공개된 별개의 WordPress 코어 취약점인 wp2shell은 pwn.ai의 연구와 무관합니다. 해당 취약점은 로그인도 클릭도 필요 없으며, 미국 사이버보안 기관 CISA가 실제 공격에 악용된 취약점으로 등재했습니다. Click2Shell은 그렇지 않습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
