전 세계 수백만 개 웹사이트에서 사용되는 워드프레스(WordPress)에서 'Click2Shell'이라는 이름의 심각한 보안 취약점이 공개됐습니다. 공격자가 관리자에게 조작된 링크를 클릭하도록 유도하면, 관리자 몰래 악성 테마가 설치되고 서버에서 임의의 PHP 코드(해커가 원하는 명령어)가 실행될 수 있습니다. 공격이 성공하면 사이트 파일과 이용자 데이터, 데이터베이스 비밀번호까지 탈취당할 수 있으며, 전체 공격 체인의 위험도(CVSS)는 최대 9.3점으로 평가됐습니다. 개념 증명(PoC) 코드가 이미 공개된 상태라 실제 악용 가능성이 높습니다. 워드프레스 운영자는 보안 패치가 포함된 버전 7.1.1로 즉시 업데이트해야 합니다.
워드프레스 테마 미리보기 기능의 파라미터 처리 방식 결함을 이용한 'Click2Shell' 취약점이 공개됐다. 관리자가 악성 URL을 클릭하면 공격자가 지정한 테마가 무단 설치되고, 취약한 테마와 결합 시 서버에서 임의 PHP 코드가 실행된다.
서버 장악 시 wp-config.php(데이터베이스 자격증명·인증 비밀값 포함)가 노출되고, 사이트 이용자 데이터 접근·악성 스크립트 삽입·임의 관리자 계정 생성까지 가능하다. 공격 체인 전체의 CVSS는 9.3으로 평가됐다.
테마 미리보기 URL의 특정 값(theme slug)이 처리 과정마다 다르게 해석되는 파싱 불일치 문제가 원인이다. 이를 통해 관리자 승인 없이도 공식 테마 저장소의 테마를 강제 설치할 수 있었다.
워드프레스는 2025년 9월 17일 버전 7.1.1을 출시해 theme slug를 jQuery 선택자로 사용하기 전 이스케이프 처리하고 선택 대상을 실제 테마 카드 요소로 제한하는 방식으로 수정했다. 일부 이전 버전에도 보안 수정이 백포트됐다.
PoC가 이미 공개된 상태이므로 즉시 7.1.1로 업데이트해야 한다. 즉각 업데이트가 불가능한 경우 wp-config.php에 DISALLOW_FILE_MODS 설정을 활성화해 테마·플러그인 설치를 차단하면 공격 체인 일부를 임시 차단할 수 있다.
본문
가
가
기사의 본문 내용은 이 글자크기로 변경됩니다.
세계적으로 널리 사용되는 콘텐츠관리시스템(CMS) 워드프레스(WordPress)에서 관리자에게 조작된 링크를 클릭하도록 유도해 서버에서 임의의 PHP 코드를 실행할 수 있는 취약점이 공개됐다.
'Click2Shell'로 명명된 이번 취약점은 워드프레스 코어의 테마 미리보기 기능을 악용하는 공격 체인이다. 공격자가 워드프레스 계정이나 관리자 권한을 보유하지 않아도 공격을 준비할 수 있지만, 실제 공격이 성립하려면 로그인 상태의 워드프레스 관리자가 공격자가 만든 URL을 방문해야 한다.
워드프레스는 지난 9월 17일 보안·유지보수 버전인 워드프레스 7.1.1을 공개해 관련 문제를 수정했다. 7.1.1에는 코어와 블록 편집기 버그 수정뿐 아니라 총 11건의 보안 취약점 패치가 포함됐다. 워드프레스 측은 보안 릴리스인 만큼 사이트 운영자들에게 즉각적인 업데이트를 권고했다.
조작된 링크 열면 공격자 지정 테마 설치 가능
Click2Shell은 보안 연구자 파울로스 이벨로(Paulos Yibelo)와 자율 침투테스트 플랫폼 pwn.ai 연구팀이 발견했다. 연구진은 지난 8월 22일 워드프레스에 문제를 신고했으며, 이후 테마 강제 설치에서 원격 코드 실행(RCE)까지 연결되는 공격 방식을 입증했다.
문제의 핵심은 워드프레스 테마 미리보기 URL의 특정 값이 서로 다른 과정에서 다르게 해석되는 데 있다. 공격자는 이를 악용해 관리자가 명시적으로 테마 설치를 승인하지 않았음에도 워드프레스 공식 테마 저장소에 등록된 특정 테마를 대상 사이트에 설치하도록 만들 수 있다.
일반적으로 테마는 활성화되지 않으면 위험성이 제한적일 것으로 생각할 수 있지만, 연구진은 설치된 테마가 비활성 상태더라도 커스터마이저(Customizer)의 미리보기 기능을 통해 PHP 코드가 실행될 수 있다는 점을 확인했다.
공격자가 취약한 테마를 함께 이용하면 관리자 클릭 한 번을 계기로 서버 측 PHP 코드 실행까지 공격 체인을 확장할 수 있다. pwn.ai는 실제 취약한 테마를 이용한 개념증명(PoC)을 공개했다.
서버 장악되면 설정파일·DB 자격증명까지 노출 위험
공격에 성공해 서버에서 임의 코드를 실행할 수 있게 되면 피해 범위는 커질 수 있다.
공격자는 워드프레스 파일을 변경하거나 삭제하고 사이트 이용자 데이터에 접근할 수 있으며, 데이터베이스 접속 정보와 인증 관련 비밀값 등이 저장된 wp-config.php 파일을 탈취할 가능성도 있다. 이후 공격자가 임의의 관리자 계정을 생성하거나 웹페이지에 악성 스크립트를 삽입하는 추가 공격으로 이어질 수 있다.
다만 이번 취약점 자체가 인터넷에 노출된 워드프레스 서버를 아무 조건 없이 즉시 원격 장악할 수 있는 형태는 아니다.
패치스택(Patchstack)은 공격 체인을 실행하려면 테마 설치 권한을 가진 관리자가 로그인한 상태에서 악성 링크를 방문해야 한다고 설명했다. 일반 작성자(Author)나 편집자(Editor) 계정만으로는 필요한 테마 설치 권한을 갖지 않아 동일한 공격을 실행하기 어렵다.
공격자는 표적형 피싱 이메일이나 메시지를 통해 관리자에게 악성 URL 클릭을 유도할 수 있다. 또 사이트에 별도의 크로스사이트스크립팅(XSS) 취약점이 존재할 경우 관리자의 브라우저에서 공격 요청을 자동 전송하도록 결합하는 방식도 가능하다.
워드프레스 7.1.1에서 수정…PoC 공개돼 업데이트 서둘러야
워드프레스는 7.1.1에서 테마 식별값(theme slug)을 jQuery 선택자로 사용하기 전에 적절히 이스케이프하고, 선택 대상도 실제 테마 카드 요소로 제한하는 방식으로 취약점을 수정했다.
현재 Click2Shell에 별도의 공식 CVE 번호는 부여되지 않은 상태지만, pwn.ai는 테마 강제 설치 취약점 자체를 CVSS 7.1 수준으로 평가했으며, 취약한 테마와 결합해 서버 코드 실행까지 이어지는 전체 공격 체인은 CVSS 9.3 수준으로 평가했다. 다만 이는 연구팀의 평가이며 워드프레스가 공식적으로 확정한 심각도는 아니다.
특히 기술 분석 내용과 PoC가 이미 공개됐다는 점에서 워드프레스 운영자는 패치를 미루지 않는 것이 중요하다.
워드프레스는 7.1 계열뿐 아니라 일부 이전 버전에도 관련 보안 수정을 백포트했지만, 공식 배포 페이지에서는 최신 7.1 계열 중 7.1.1을 안전하게 사용해야 하는 최신 버전으로 안내하고 있다.
즉각 업데이트가 어려운 환경에서는 DISALLOW_FILE_MODS 설정을 활성화해 관리자 화면을 통한 테마와 플러그인 설치·수정을 제한하면 이번 공격 체인의 일부를 차단하는 데 도움이 될 수 있다. 다만 근본적인 대응은 보안 패치가 적용된 최신 워드프레스 버전으로 업그레이드하는 것이다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
