WordPress 전자상거래 플러그인인 WooCommerce Wholesale Lead Capture(버전 2.0.3.1 이하)에서 심각한 취약점(CVE-2026-27540)이 발견되어 해커들이 실제로 악용하고 있습니다. 이 취약점은 로그인 없이도 PHP 파일을 서버에 업로드할 수 있어, 공격자가 웹셸(원격 제어용 악성 스크립트)을 심고 사이트 전체를 장악할 수 있습니다. 보안업체 Wordfence는 이미 10만 건 이상의 공격 시도를 차단했으며, 공격은 올해 여름 내내 반복적으로 급증했습니다. 해당 플러그인을 사용 중이라면 즉시 버전 2.0.3.2 이상으로 업데이트하고, 업로드 폴더에 수상한 PHP 파일이 없는지 점검해야 합니다. 침해가 확인된 경우에는 안전한 백업본으로 사이트를 복원하는 것이 권장됩니다.
WooCommerce Wholesale Lead Capture 플러그인 2.0.3.1 이하 버전의 인증 없는 임의 파일 업로드 취약점(CVE-2026-27540)이 해커들에 의해 적극 악용되고 있으며, PHP 웹셸 업로드를 통한 원격 코드 실행이 가능하다.
공격자는 서버 정보 수집 및 추가 악성 파일 업로드를 통해 WordPress 사이트를 완전히 장악할 수 있다. Wordfence는 현재까지 10만 건 이상의 공격 시도를 차단했으며, 6월·8월에 공격이 급증했다.
플러그인이 wwlc_file_upload_handler라는 AJAX 액션을 인증 없이 외부에 노출하고 있으며, 공격자가 요청 파라미터(file_settings)를 조작해 PHP 확장자를 허용 목록에 추가함으로써 악성 PHP 파일 업로드가 가능하다.
플러그인을 버전 2.0.3.2 이상으로 즉시 업데이트하고, 고빈도 공격 IP를 차단해야 한다. 업로드 디렉토리 내 의심 PHP 파일 확인, admin-ajax.php 로그 점검, 알 수 없는 관리자 계정 삭제가 권장된다. 침해 확인 시 백업에서 복원하는 것이 가장 확실한 조치다.
해당 플러그인 사용 여부를 즉시 확인하고 최신 버전으로 업데이트할 것. 이미 취약한 버전을 사용했다면 업로드 디렉토리와 관리자 계정을 반드시 점검해야 한다.
본문
해커들이 WordPress용 WooCommerce Wholesale Lead Capture 프리미엄 플러그인의 치명적인 취약점을 적극적으로 악용해 PHP 백도어를 업로드하고 있습니다.
이 취약점은 CVE-2026-27540으로 추적되며, 플러그인 버전 2.0.3.1 이하에 영향을 줍니다. 보안 연구원 Teemu Saarentaus가 발견한 인증 없는(unauthenticated) 임의 파일 업로드 취약점입니다.
공격자는 이를 악용해 PHP 웹셸을 업로드하고 코드를 실행할 수 있으며, 결과적으로 사이트 전체가 장악될 수 있습니다.
기술적으로, 이 취약점은 wwlc_file_upload_handler라는 인증 없는 AJAX 액션이 외부에 노출되어 있기 때문에 발생합니다. 해당 액션은 사용자가 제어하는 file_settings 요청 파라미터를 통해 제공된 허용 목록(allowlist)에 따라 파일 확장자를 검사합니다.
이를 통해 허용 파일 형식에 'php'를 추가할 수 있게 되어, 플러그인이 PHP 실행 파일 업로드를 허용하게 됩니다.
이 취약점은 2월 20일에 출시된 WooCommerce Wholesale Lead Capture 플러그인 버전 2.0.3.2에서 수정되었습니다.
그러나 WordPress 보안업체 Defiant는 자사의 Wordfence 웹 애플리케이션 방화벽(WAF)이 CVE-2026-27540과 관련된 10만 건 이상의 공격을 차단했다고 경고하고 있습니다.
Wordfence에 따르면 악용 활동은 6월 4일~17일, 7월 1일, 8월 30일에 급증했습니다.
공격 과정에서 해커들은 정찰을 수행하는 웹셸을 업로드하며, 추가 페이로드(악성 코드)를 심을 수도 있습니다.
Wordfence는 다음과 같이 설명합니다. "공격자는 조작된 file_settings 파라미터와 .php 확장자를 가진 악성 파일을 포함한 요청을 wwlc_file_upload_handler AJAX 액션에 전송합니다."
"업로드된 shell.php는 호스트 정보를 수집하고, 사이트에 추가 악성 파일을 작성할 수 있는 브라우저 기반 업로드 폼을 제공하는 PHP 웹셸입니다."
공격 요청 예시
출처: Wordfence
Wordfence는 수만 건의 악용 시도를 기록한 주요 공격 IP 목록을 제공하고 있습니다. 관리자는 해당 IP들을 차단 목록에 추가하고, 보안 문제가 해결된 플러그인 버전 2.0.3.2 이상으로 업그레이드할 것을 권고합니다.
연구진은 또한 업로드 디렉토리에서 예상치 못한 PHP 파일이나 최근 생성된 PHP 파일을 확인하고, wwlc_file_upload_handler를 호출하는 /wp-admin/admin-ajax.php 요청에 대한 로그를 검토하며, 알 수 없는 관리자 계정을 삭제할 것을 권고합니다.
침해가 확인된 경우, 모든 지속성 메커니즘·사용자·백도어를 제거하는 작업이 복잡할 수 있으므로, 안전한 백업본으로 웹사이트를 복원하는 것이 권장 조치입니다.
AI 기반 공격에 대응하는 보안 청사진 수립하기
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 함께하는 2시간짜리 디지털 서밋에 참가하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 멈춰야 할 행동은 무엇인지, 그리고 기계 속도로 검증·결정·수정·재검증하는 방법을 다룹니다.
자리 예약하기
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
