워드프레스가 9월 22일 보안 업데이트를 배포한 당일, CVE-2026-87902 취약점을 노린 공격 시도가 즉시 관찰됐습니다. 이 취약점은 로그인하지 않은 공격자도 페이지 템플릿 경로를 조작해 테마 폴더 밖의 PHP 파일을 불러올 수 있게 하며, 서버 환경 조건이 맞으면 원격코드실행(RCE, 외부에서 서버를 마음대로 제어하는 공격)으로 이어질 수 있습니다. 공격자들은 PHP 도구인 pearcmd.php를 이용해 서버 디스크에 파일을 직접 쓰려는 시도까지 포착됐으며, 공개된 공격 재현 코드와 스캔 도구도 유통되고 있어 추가 피해 가능성이 높습니다. 싱가포르 사이버보안청(CSA)은 24일 실제 악용 경보를 발령하고 즉각적인 업데이트를 권고했습니다. 워드프레스 7.1.2 및 해당 수정 사항이 백포트된 이전 버전으로 즉시 업데이트하고, 웹 로그와 서버 임시 폴더에서 이상 징후를 확인해야 합니다.
워드프레스 보안 패치 공개 당일 CVE-2026-87902를 노린 공격이 관찰됐다. 초기 취약점 탐색에 이어 pearcmd.php를 이용한 PHP 파일 디스크 쓰기 시도까지 포착됐으며, 공개 익스플로잇 코드와 스캔 도구도 유통 중이다.
인증되지 않은 공격자가 템플릿 경로를 조작해 테마 디렉터리 외부의 PHP 파일을 로드할 수 있으며, 서버 환경 조건이 갖춰질 경우 원격코드실행(RCE)으로 이어질 수 있다. 모든 사이트에서 즉각 RCE가 가능한 것은 아니며 테마 구조와 서버 설정이 조건으로 작용한다.
워드프레스의 페이지 템플릿 파일 탐색 로직에서 경로 검증이 미흡해 현재 테마 폴더 밖의 읽기 가능한 PHP 파일을 불러오는 경로 조작이 가능하다.
워드프레스 7.1.2에서 수정됐으며 이전 지원 버전 계열에도 패치가 백포트됐다. 싱가포르 CSA는 24일 실제 악용 경보를 발령하고 즉각 업데이트를 권고했다.
사용 중인 워드프레스 버전의 수정 버전으로 즉시 업데이트해야 한다. 웹 접속 로그에서 비정상적인 템플릿 경로 요청을 점검하고, 서버 임시 폴더 등에 출처 불명의 PHP 파일이 생성됐는지 확인해야 한다.
본문
가
가
기사의 본문 내용은 이 글자크기로 변경됩니다.
워드프레스가 9월 22일 보안 업데이트를 공개한 당일, 취약점 'CVE-2026-87902'를 노린 공격 시도가 관찰됐다. 초기에는 취약한 사이트를 찾는 탐색이 주를 이뤘지만, 이후 서버에 PHP 파일을 생성하려는 요청도 확인됐다. 싱가포르 사이버보안청(CSA)은 24일 실제 악용 경보를 내고 즉각적인 업데이트를 권고했다.
문제는 워드프레스가 페이지에 사용할 템플릿 파일을 찾는 과정에 있다. 인증되지 않은 공격자가 특정 조건에서 경로를 조작하면 현재 사용 중인 테마 폴더 밖의 읽기 가능한 PHP 파일을 불러오게 만들 수 있다. 해당 파일과 서버 설정을 함께 악용할 수 있다면 서버에서 공격자의 코드를 실행하는 단계로 이어진다. 다만 모든 워드프레스 사이트에서 곧바로 원격코드실행이 가능한 것은 아니다. 공격에 맞는 테마 디렉터리 구조와 서버 환경 등이 필요하다.
워드프레스 보안업체 패치스택은 업데이트 공개 당일 공격 요청을 관찰했다고 밝혔다. 처음에는 일반 파일을 불러와 취약 여부를 확인하는 시도가 많았으나, 이후 PHP 도구인 pearcmd.php를 이용해 파일을 디스크에 쓰려는 요청이 포착됐다. 공개된 공격 재현 코드와 스캔 도구도 있어 추가 탐색과 공격 시도가 이어질 가능성이 있다. 관찰된 요청이 실제 사이트 침해로 얼마나 이어졌는지는 별도로 확인해야 한다.
워드프레스는 이 취약점을 7.1.2에서 수정했으며, 보안 업데이트 대상인 이전 버전 계열에도 수정 사항을 적용했다. 국내 기업·기관의 사이트 운영자는 사용 중인 계열의 수정 버전으로 업데이트하고, 웹 접속 기록에서 비정상적인 페이지 템플릿 경로 요청을 확인해야 한다. 서버의 임시 폴더 등에 출처를 알 수 없는 PHP 파일이 생성됐는지도 함께 점검할 필요가 있다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
