WordPress의 핵심 구성 요소에서 'Click2Shell'이라는 CSRF(사이트 간 요청 위조) 취약점이 발견되었습니다. 공격자는 WordPress 계정 없이도 조작된 링크를 만들어 로그인된 관리자가 클릭하도록 유도하면, 서버에서 임의의 PHP 코드를 원격으로 실행할 수 있습니다. 공격이 성공하면 파일 수정·삭제, 데이터베이스 자격증명 탈취, 악성 관리자 계정 생성 등 심각한 피해로 이어질 수 있습니다. 실제 공격에 사용 가능한 PoC(개념 증명 코드)가 이미 공개된 상태이며, WordPress 7.1.1 버전에서 수정이 완료되었습니다. 즉시 업데이트가 어려운 경우 'DISALLOW_FILE_MODS' 설정을 활성화하는 것이 임시 대안입니다.
WordPress Core 7.1.0 이하 버전에서 테마 미리보기 URL 처리 방식의 버그를 이용한 CSRF 기반 원격 코드 실행(RCE) 취약점 'Click2Shell'이 발견되었으며, PoC 익스플로잇이 공개되었습니다.
공격 성공 시 서버에서 임의 PHP 코드 실행이 가능하며, 파일 수정·삭제, 사용자 데이터 접근, wp-config.php의 DB 자격증명 및 인증 비밀키 탈취, 악성 관리자 계정 생성, 악성 스크립트 삽입 등이 가능합니다.
WordPress.org Themes API와 관리자 브라우저의 JavaScript가 테마 미리보기 URL의 특정 값을 각각 다르게 처리하는 버그로 인해, 비활성 테마도 Customizer 미리보기 중 PHP를 실행할 수 있게 됩니다.
WordPress 7.1.1에서 테마 슬러그(slug)를 jQuery 선택자에 사용하기 전 이스케이핑하고 선택자를 실제 테마 카드로 제한하여 수정했습니다. 즉시 업데이트가 어려운 경우 'DISALLOW_FILE_MODS' 설정 활성화가 임시 방어책입니다.
PoC가 이미 공개된 만큼 WordPress 최신 버전(7.1.1)으로의 즉각 업데이트가 필수입니다. 피싱 메일이나 XSS 취약점을 통해 관리자를 조작된 URL로 유도하는 연계 공격에도 주의해야 합니다.
본문
'Click2Shell'로 명명된 새로운 WordPress CSRF(사이트 간 요청 위조) 취약점에 대한 기술 세부 사항과 PoC(개념 증명) 익스플로잇이 공개되었습니다. 이 취약점은 WordPress의 Core 컴포넌트에 영향을 미칩니다.
해당 보안 문제에는 아직 공식 식별자가 부여되지 않았으나, 지난주 WordPress 버전 7.1.1이 출시되면서 수정되었습니다.
이는 사전 인증 없이도 원격 코드를 실행할 수 있는 취약점 체인으로, 공격자가 WordPress.org 공식 카탈로그에 있는 임의의 테마를 설치하고 임의의 PHP 파일을 실행할 수 있게 합니다.
자율 침투 테스트 플랫폼 pwn.ai의 보안 연구원 Paulos Yibelo가 Click2Shell을 발견하여 8월 22일 WordPress에 신고했습니다.
연구원들은 "WordPress 테마 미리보기 URL의 한 값이 WordPress.org Themes API에서 한 번 해석되고, 관리자 브라우저의 JavaScript에서 버그가 있는 방식으로 두 번째로 해석된다"고 설명합니다.
이를 통해 공격자는 관리자가 명시적으로 설치하지 않아도 대상 웹사이트에 WordPress 테마를 추가할 수 있습니다. 연구원은 비활성 상태의 테마도 Customizer 미리보기 중에 PHP를 실행할 수 있다는 점을 발견했습니다.
공격자가 인증을 거칠 필요는 없지만, Click2Shell 익스플로잇이 작동하려면 로그인된 관리자가 조작된 URL을 방문해야 한다는 점에 유의해야 합니다.
공격은 카탈로그 내 취약한 테마를 설치하도록 유도하는 조작된 링크로 시작될 수 있습니다. Customizer 미리보기가 비활성 테마의 PHP를 로드하면, 해당 코드가 서버에서 실행됩니다.
pwn.ai는 이 문제를 시연하기 위해 취약한 WordPress 테마를 체인의 두 번째 구성 요소로 사용하여 공격자의 PHP 코드를 실행했습니다.
연구원의 전체 기술 보고서는 서버 측 원격 코드 실행을 달성하기 위한 완전한 PoC 익스플로잇을 제공합니다.
이러한 방식으로 코드를 실행하면 파일 수정 및 삭제, 사용자 데이터 접근, 데이터베이스 자격증명과 인증 비밀키가 포함된 wp-config.php 파일 접근이 가능해집니다. 공격자는 이 접근 권한을 악용해 악성 관리자 계정을 생성하거나 악성 스크립트를 삽입할 수 있습니다.
Yibelo는 특정 테마를 사용해 Click2Shell을 시연했지만, WordPress Core 7.1.0 이하 버전의 근본적인 결함은 WordPress 카탈로그 내 다른 취약한 테마를 강제 설치하는 데도 활용될 수 있습니다.
연구원은 공격자에게 WordPress 계정, 설치 논스(nonce), 또는 자신의 관리자 권한이 필요하지 않다고 밝혔습니다. 그러나 Click2Shell 공격이 성공하려면 로그인된 관리자가 조작된 링크를 방문해야 합니다.
WordPress 보안 기업 Patchstack은 Click2Shell을 분석한 결과, 관리자만 해당 체인을 트리거할 수 있으며 Author 및 Editor 계정은 테마 설치에 필요한 권한이 없다고 강조했습니다.
Patchstack은 피싱 공격이나 관리자의 브라우저가 해당 요청을 전송하게 만드는 기존의 XSS(크로스 사이트 스크립팅) 결함을 통해 공격이 가능하다고 경고했습니다.
WordPress는 jQuery 선택자에 사용하기 전에 테마 슬러그(slug)를 이스케이핑하고 선택자를 실제 테마 카드로 제한하는 방식으로 버전 7.1.1에서 Core 취약점을 수정했습니다.
즉시 업데이트를 설치할 수 없는 관리자를 위해 Patchstack은 DISALLOW_FILE_MODS가 활성화된 웹사이트는 테마나 악성 플러그인이 강제 설치될 수 없다고 밝혔습니다.
그러나 상세한 기술 정보와 PoC가 이미 공개된 만큼, 최신 WordPress 버전으로의 전환을 강력히 권고합니다.
AI 기반 공격에 대비한 보안 청사진 구축
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 함께하는 2시간 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 그만해야 할 것은 무엇인지, 그리고 기계 속도로 검증·결정·수정·재검증하는 방법을 다룹니다.
자리를 예약하세요
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
