WordPress 백업 플러그인 취약점, 수백만 사이트 탈취 공격에 노출

WordPress용 All-in-One WP Migration and Backup 플러그인에서 발견된 SQL 인젝션 취약점으로 인해, 인증되지 않은 공격자가 원격 코드를 실행하고 영향을 받는 웹사이트를 탈취할 수 있다.

이 플러그인은 데이터베이스, 미디어, 테마, 플러그인을 포함한 전체 웹사이트를 서버 또는 도메인 간에 백업·내보내기·가져오기·이전하는 데 사용된다.

해당 보안 취약점은 CVE-2026-19949로 추적되며 높은 심각도 점수를 받았다. 보안 연구자 Jack Taylor가 발견했으며, 8월 중순 Defiant의 사이버보안 부문인 Wordfence를 통해 신고됐다.

Wordfence 연구팀은 어제 발표한 보고서에서 CVE-2026-19949가 All-in-One WP Migration and Backup 버전 7.109 이하에 영향을 미치는 2차(second-order) SQL 인젝션 취약점이라고 밝혔다.

이 문제는 플러그인이 아카이브 복원 과정에서 데이터베이스 콘텐츠를 재작성할 때 이스케이프된 역슬래시와 따옴표를 잘못 파싱하는 데서 비롯된다.

인증되지 않은 공격자는 WordPress 트랙백을 통해 조작된 데이터를 심어 둘 수 있으며, 이는 관리자가 사이트를 내보내고 가져올 때—플러그인의 일반적인 작업—실행된다.

주입된 SQL은 플러그인의 비밀 import 키(ai1wm_secret_key)를 공개 댓글을 통해 노출시키며, 공격자는 이를 획득해 실행 가능한 코드가 담긴 악성 .wpress 아카이브를 가져올 수 있다.

Wordfence는 이 권한 수준에서의 코드 실행이 대상 웹사이트의 완전한 탈취로 이어질 수 있다고 언급했다.

WordPress.org 통계에 따르면 All-in-One WP Migration and Backup의 활성 설치 수는 500만 개를 넘는다.

개발사가 문제를 수정했음에도 불구하고, 플러그인 사용자 중 약 35%만이 최신 버전으로 업데이트했으며, 나머지 325만 개 사이트는 취약한 버전의 All-in-One WP Migration and Backup을 실행 중이다.

All-in-One WP Migration and Backup 플러그인 업데이트 현황

출처: BleepingComputer

관리자 행동에 의해 촉발되는 익스플로잇

익스플로잇을 유발하는 페이로드는 관리자가 백업 아카이브를 복원할 때까지 잠복 상태를 유지하며, 복원 시 SQL 문자열 경계 처리 과정에서 저장된 데이터가 SQL로 실행된다.

이러한 전제 조건이 즉각적인 악용 위험을 낮추기는 하지만, Wordfence는 해당 플러그인의 역할 특성상 관리자가 언젠가 해당 작업을 수행할 것이라고 지적했다.

"백업 및 복원은 이 플러그인의 핵심 목적이므로 일상적인 작업이지만, 주입된 SQL은 해당 작업이 수행될 때까지 실행되지 않습니다"라고 Wordfence는 밝혔다.

연구팀은 비활성화된 취약 버전의 플러그인이 위험도는 낮지만, 일시적으로 활성화될 경우 여전히 악용될 수 있다고 설명했다.

Wordfence는 Taylor의 발견을 검증한 후 8월 15일 All-in-One WP Migration and Backup 플러그인 개발사인 ServMask에 해당 문제를 공개했다.

ServMask는 8월 20일 플러그인 버전 7.110에서 CVE-2026-19949 취약점을 수정했다.