WordPress가 버전 7.1.2를 출시하여 심각한 경로 탐색(Path Traversal) 취약점(CVE-2026-87902)을 수정했습니다. 이 취약점은 로그인 계정이 전혀 없는 외부 공격자도 서버에서 임의의 PHP 파일을 불러와 코드를 실행할 수 있게 해, 사실상 서버 장악으로 이어질 수 있습니다. 취약점 심각도는 CVSS 기준 9.2점(10점 만점)으로 매우 높으며, WordPress 4.7.0부터 7.1.1까지 광범위한 버전이 영향을 받습니다. WordPress 측은 보안 릴리스임을 강조하며 즉각적인 업데이트를 권고하고 있습니다. 자동 업데이트가 꺼진 사이트는 대시보드의 업데이트 화면에서 수동으로 즉시 패치해야 합니다.
WordPress의 `get_page_template()` 함수에서 경로 탐색 취약점(CVE-2026-87902)이 발견됐습니다. 공격자는 테마 폴더 바깥에 있는 임의의 .php 파일을 WordPress가 불러오도록 유도할 수 있습니다.
인증이 전혀 필요 없는 원격 공격자가 서버에서 코드를 실행(RCE)할 수 있으며, CVSS v4 점수 9.2로 평가됩니다. WordPress 4.7.0 ~ 7.1.1 전 버전이 영향을 받아 피해 범위가 매우 넓습니다.
`get_page_template()` 함수가 파일 경로를 지정된 테마 디렉터리 내로 제한하지 않아, 요청이 의도한 디렉터리 밖으로 벗어나는 경로 탐색이 가능했습니다.
WordPress 7.1.2 및 구버전 24개 브랜치(4.7.37 ~ 7.0.6)에 보안 패치가 배포됐습니다. 자동 업데이트를 허용한 사이트는 자동 적용되며, 그 외에는 대시보드 업데이트 화면에서 수동 업데이트가 필요합니다.
자동 업데이트가 비활성화된 WordPress 사이트는 지금 즉시 대시보드에서 업데이트를 확인하고 적용해야 합니다. 공격에 계정이나 사용자 개입이 전혀 필요하지 않기 때문에 노출 시간을 최소화하는 것이 핵심입니다.
본문
WordPress가 버전 7.1.2를 출시하여 인증되지 않은 공격자가 사이트의 활성 테마 폴더 외부에서 임의의 PHP 파일을 소프트웨어에 로드하도록 할 수 있는 치명적 결함을 수정했습니다. 서버와 활성 테마가 특정 조건을 충족하는 사이트에서는 공격자가 서버에서 코드를 실행하는 것도 가능합니다.
프로젝트는 이 결함을 CVE-2026-87902로 추적하며, 4.7.0부터 7.1.1까지의 모든 릴리스를 영향을 받는 버전으로 분류합니다. 공격자는 사이트 계정이 필요 없으며, 계정을 가진 사람의 어떠한 행동도 필요하지 않습니다.
이는 보안 릴리스이므로 사이트를 즉시 업데이트할 것을 권장합니다.
버그의 동작 방식
이 버그는 WordPress가 페이지를 렌더링할 테마 파일을 선택하는 데 사용하는 함수인 get_page_template()에 존재합니다. 공격자는 해당 조회를 서버 내 다른 위치에 있는 읽기 가능한 .php 파일로 유도할 수 있습니다. 이는 경로 탐색(path traversal) 버그로, 요청이 코드가 머물도록 예상된 디렉터리 밖으로 벗어나는 것을 의미합니다. 그러면 WordPress는 해당 파일을 포함(include)하고, PHP가 내부 코드를 실행합니다.
WordPress는 취약점 심각도의 공통 척도인 CVSS 버전 4 기준으로 이 결함을 10점 만점에 9.2점으로 평가했습니다. 이 점수는 네트워크를 통해 작동하는 공격자를 기준으로 하며, 낮은 복잡도, 권한 불필요, 사용자 상호작용 불필요를 가정합니다.
패치 적용 대상
수정 사항은 7.1.2와 7.0.6부터 4.7.37까지의 24개 구버전 브랜치에 함께 제공됩니다. 자동 백그라운드 업데이트를 허용하는 사이트는 자동으로 업데이트가 시작되며, 그 외 사이트는 대시보드의 업데이트 화면에서 업데이트할 수 있습니다.
WordPress는 다음과 같이 밝혔습니다. "보안 수정 사항은 보안 수정을 받을 자격이 있는 모든 브랜치(현재 4.7까지)에 호의적으로 백포트(backport)되었습니다. 참고로, 가장 최신 버전의 WordPress만 적극적으로 지원됩니다."
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
