WordPress 플러그인·테마 5종의 치명적 취약점, 사이트 탈취 및 원격 코드 실행 위협

한 줄 요약

WordPress에서 널리 사용되는 플러그인과 테마 5종에서 심각한 보안 취약점이 무더기로 발견됐습니다. 공격자가 로그인 없이도 관리자 계정을 탈취하거나, 서버에서 원하는 코드를 실행(RCE, 원격 코드 실행)할 수 있는 수준의 위험도입니다. 특히 GiveWP 플러그인의 취약점(CVE-2026-82222)은 CVSS 만점(10.0)을 받았으며, PHP 객체 주입 공격 기법이 악용됩니다. 영향받는 버전을 사용 중인 사이트는 즉시 패치를 적용해야 합니다.

사건

WordPress 플러그인·테마 5종(WPMU DEV Dashboard, Avada, TranslatePress, Pods, GiveWP)에서 CVSS 9.8~10.0 수준의 치명적 취약점 5개가 공개됐다. 인증 우회, 권한 상승, 임의 파일 쓰기, 민감 정보 노출, 원격 코드 실행 등 다양한 공격 유형을 포함한다.

영향

비인증 공격자가 관리자 권한을 획득하거나 서버 전체를 장악할 수 있다. GiveWP의 경우 기부 폼과 결제 수단이 하나씩만 활성화되어 있어도 공격이 성립한다.

원인

직렬화(serialization) 검증 로직 결함, 공격자 제어 데이터의 신뢰·역직렬화, 개발용 라이브러리가 프로덕션에 포함되어 가젯 체인(gadget chain, 코드 재조합 공격 경로)을 제공하는 구조적 취약점이 복합적으로 작용했다.

대응

Wordfence·Patchstack이 취약점을 공개했으며, 각 플러그인·테마 개발사가 패치 버전을 배포했다. 영향받는 버전 사용 사이트는 즉시 최신 버전으로 업데이트해야 한다.

실무 포인트

WordPress 기반 사이트 운영자는 해당 플러그인·테마 버전을 즉시 확인하고 업데이트해야 한다. Hub SSO 비활성화, 불필요한 플러그인 제거, 서버 측 PHP 역직렬화 처리 코드 점검을 병행할 것을 권고한다.

본문

Ravie Lakshmanan 2026년 8월 29일 · 취약점 / 웹 보안

WPMU DEV Dashboard, Avada, TranslatePress, Pods, GiveWP 등 WordPress 플러그인 및 테마에서 인증 우회, 계정 탈취, 임의 코드 실행으로 이어질 수 있는 다수의 치명적 보안 취약점이 공개됐다.

Wordfence와 Patchstack이 보고한 취약점 목록은 다음과 같다.

CVE-2026-76581 (CVSS 점수: 9.8) — WPMU DEV Dashboard 플러그인의 인증 우회 취약점. WPMU DEV에 연결된 사이트에서 Hub Single-Sign On(SSO)이 활성화되어 있고 관리자 계정과 매핑된 경우, 비인증 공격자가 관리자 권한을 획득해 사이트를 탈취할 수 있다. (5.0.1 이하 모든 버전 영향)
CVE-2026-18431 (CVSS 점수: 9.8) — WordPress용 Avada 테마의 임의 파일 쓰기 취약점. 비인증 공격자가 서버에 원하는 파일을 쓸 수 있으며, 이를 이용해 임의의 PHP 파일을 생성·실행함으로써 원격 코드 실행(RCE) 및 사이트 완전 장악이 가능하다. (Fusion Builder 플러그인 3.16 이하가 설치·활성화된 상태에서 Avada 7.16 이하 버전 영향)
CVE-2026-19632 (CVSS 점수: 9.8) — "TranslatePress – Translate Multilingual sites with AI Translation" 플러그인의 민감 정보 노출 취약점. 비인증 공격자가 관리자의 비밀번호 재설정 URL(평문 재설정 키 및 로그인 파라미터 포함)을 추출해 관리자 계정을 완전히 탈취할 수 있다. (자동 문자열 저장이 활성화되고 대상 관리자 프로필 로캘이 게시된 보조 언어로 설정된 경우에만, 3.3.1 이하 버전 영향)
CVE-2026-19598 (CVSS 점수: 9.8) — "Pods – Custom Content Types and Fields" 플러그인의 권한 상승 취약점. 비인증 공격자가 자신의 권한을 관리자로 상승시키거나 사이트 소유자를 포함한 모든 사용자 계정의 비밀번호를 덮어써 사이트를 완전히 탈취할 수 있다. (3.3.9 이하 버전 영향)
CVE-2026-82222 (CVSS 점수: 10.0) — GiveWP 플러그인의 취약점. 기부 폼이 하나 이상 게시되어 있고 결제 수단이 하나 이상 활성화된 GiveWP 사이트에서, 공격자가 서버에서 임의 명령을 실행할 수 있다. (4.16.7.1 이하 버전 영향)

Patchstack은 CVE-2026-82222에 대해 이렇게 설명했다. "이 취약점은 불완전한 '안전한 역직렬화(safe unserialize)' 헬퍼, 해당 헬퍼에 공격자 제어 데이터를 전달하는 기부 흐름, 그리고 GiveWP가 함께 배포하는 코드 내의 가젯 체인(gadget chain), 이 세 가지가 결합되어 발생한다. 이 사례는 세 가지 조건, 즉 공격자가 제어하는 직렬화 객체를 저장할 공간, 이를 나중에 역직렬화하는 코드, 로드된 클래스 내의 가젯 체인이 맞아떨어질 때 PHP 객체 주입이 원격 코드 실행으로 전환되는 방식을 보여준다."

"근본 원인은 공통적이다. 실제로는 객체를 제거하지 않는 직렬화 검사기를 신뢰하는 것, 데이터베이스에서 읽어온 데이터를 신뢰할 수 있는 것처럼 역직렬화하는 것, 그리고 개발 전용 라이브러리를 프로덕션 환경에 포함시켜 즉시 사용 가능한 가젯 체인을 제공하는 것이다."