weDevs Project Manager 인증 없는 원격 코드 실행 취약점과 업데이트

무슨 일이 생겼나요

KISA 보호나라는 2026-11-02 weDevs Project Manager를 4.1.2 이상으로 업데이트하도록 권고했어요. 이번 문제는 방문자의 신원을 확인하지 않은 채 작업실 안에서 방문자가 원하는 일을 시킬 수 있게 되는 상황에 비유할 수 있어요. 영향을 받는 범위는 4.1.2 미만이에요.

취약점 식별 번호는 CVE-2026-116512예요. 핵심은 인증 없이 네트워크를 통해 원격·임의 코드 실행이 가능하다는 점이에요. 원격·임의 코드 실행이란 공격자가 떨어진 곳에서 자신이 원하는 프로그램 명령을 실행하게 할 수 있다는 뜻이에요. 이 문제는 해당 제품이 실행되는 서버의 보안과 관련돼요.

NVD는 취약점의 특성과 심각도 정보를 정리하는 데이터베이스예요. 이 취약점의 NVD 게시일은 2026-10-31이고, 심각도는 CRITICAL로 분류돼 있어요. CISA KEV는 실제 악용이 확인된 취약점을 관리하는 목록이에요. 이 취약점은 CISA KEV 에는 아직 등재되지 않았다.

기술적으로는 (초급 개발자용)

CVE-2026-116512에는 CWE-434가 연결돼 있어요. CWE는 소프트웨어 보안 약점의 종류를 구분하는 분류 체계예요. CWE-434는 ‘위험한 형식의 파일에 대한 제한 없는 업로드’를 뜻해요. 실행되면 위험할 수 있는 형식의 파일을 올리는 데 필요한 제한이 충분하지 않은 약점 유형을 가리켜요.

다만 이 분류만으로 weDevs Project Manager의 어떤 업로드 기능에서 문제가 생겼는지, 어떤 검사나 처리 과정이 원인인지까지 특정할 수는 없어요. 파일이 저장되는 위치나 실행으로 이어지는 내부 과정도 단정할 수 없어요. 구체적인 원인 분석에서는 이처럼 분류로 알 수 있는 내용과 구현 확인이 필요한 내용을 구분해야 해요.

공격 조건에서 확인할 핵심은 네트워크를 통한 공격이 가능하고 인증이 필요하지 않다는 점이에요. 인증은 사용자가 누구인지 확인하는 과정이에요. 따라서 계정이 있는 사용자만 주의하면 되는 문제로 해석해서는 안 돼요. 다만 인증이 필요 없다는 설명만으로 모든 설치 환경에 같은 방식으로 접근할 수 있다고 단정할 수는 없어요.

CVSS는 취약점의 기술적인 심각도를 공통 기준으로 평가하는 체계예요. 이 취약점은 CVSS 3.1 기준 9.8이며, 심각도 분류는 CRITICAL이에요. 이 점수는 인증 없는 네트워크 공격과 원격 코드 실행 가능성을 가볍게 다루지 말아야 한다는 판단에 도움이 돼요. 실제 공격 발생 여부나 개별 서버의 피해 규모를 나타내는 수치는 아니에요.

누가 영향을 받나요

일반 사용자

weDevs Project Manager를 사용하는 사이트의 일반 이용자는 사이트 운영자가 업데이트를 적용했는지가 중요해요. 이 취약점의 조치 대상은 서버에 설치된 제품이므로, 이용자가 자신의 브라우저나 비밀번호를 바꾸는 행동으로 해당 제품의 취약점이 해결되지는 않아요.

사이트를 직접 관리하지 않는다면 운영 담당자에게 weDevs Project Manager 사용 여부와 4.1.2 이상 적용 여부를 문의할 수 있어요. 제품을 사용한다는 사실만으로 개인정보 유출이나 서버 침해가 발생했다고 판단할 수는 없어요.

개발자

weDevs Project Manager를 설치하거나 유지보수하는 개발자는 관리 중인 환경에 4.1.2 미만이 남아 있는지 확인해야 해요. 이번 취약점은 인증 없이 공격할 수 있으므로, 로그인 기능이 있다는 이유만으로 영향 대상에서 제외해서는 안 돼요.

CWE-434는 업로드 제한과 관련된 약점 분류이지만, 그 이름만 보고 특정 파일 검사 로직을 수정하면 해결된다고 판단해서는 안 돼요. 제품 업데이트를 적용하고, 업데이트 이후 프로젝트 관리 기능과 연동 기능이 정상적으로 동작하는지 확인하는 것이 이번 조치의 중심이에요.

서버·장비 담당자

서버 담당자는 weDevs Project Manager의 설치 여부와 실제 적용 버전을 확인하고, 4.1.2 미만인 환경의 업데이트를 우선 검토해야 해요. 네트워크를 통한 인증 없는 원격 코드 실행이 가능하다는 특성 때문에 외부에서 접근할 수 있는 설치 환경은 노출 상태도 함께 살펴볼 필요가 있어요.

업데이트 계획을 세웠다는 사실과 실제 실행 중인 제품이 4.1.2 이상으로 바뀌었다는 사실은 구분해야 해요. 작업을 마친 뒤 적용 버전을 확인하고, 제품 기능과 서버 운영 상태에 이상이 없는지 점검해야 해요.

지금 할 일

1. 관리하는 사이트와 서버에서 weDevs Project Manager를 사용하는지 확인해요. 직접 관리하지 않는 환경은 운영 담당자에게 설치 여부를 확인해요.
2. 설치된 버전을 확인해요. 4.1.2 미만이면 CVE-2026-116512의 영향 범위에 해당하므로 업데이트 대상으로 정해요.
3. 제조사 공지에서 해당 제품의 업데이트 절차와 적용 시 주의사항을 확인해요. 메뉴 이름이나 파일 교체 방법을 추측해서 작업하지 않아요.
4. 제조사 공지의 업데이트 절차를 따라 weDevs Project Manager를 4.1.2 이상으로 업데이트해요.
5. 업데이트 후 실제 적용 버전과 주요 기능의 동작을 확인하고, 적용한 버전과 점검 결과를 운영 기록에 남겨요.

바로 업데이트하기 어렵다면

• 바로 업데이트하기 어렵다면 제조사 공지에서 임시 조치의 안내 여부와 적용 조건을 확인한 뒤, 가능한 범위에서 weDevs Project Manager에 대한 접근을 제한하거나 외부 노출을 줄이는 방안을 검토해요. 이러한 조치만으로 취약점이 해결됐다고 판단하지 말고 4.1.2 이상 업데이트를 이어서 준비해요.

업데이트 후 확인

• 업데이트한 환경에서 weDevs Project Manager의 실제 적용 버전이 4.1.2 이상인지 확인해요.
• 제품의 주요 프로젝트 관리 기능과 사용 중인 연동 기능이 정상적으로 동작하는지 확인해요.
• 업데이트 대상으로 정한 다른 설치 환경에 4.1.2 미만이 남아 있지 않은지 확인해요.

해외 동향 (NVD·CISA KEV)

CISA의 실제 악용 취약점 목록(KEV)에는 2026.11.02 확인 기준 아직 올라 있지 않아요.

제조사 공식 공지

• https://www.wordfence.com/threat-intel/vulnerabilities/id/d3e300b3-39cc-4681-a8e8-02d9743f97ff

자주 묻는 질문

Q. 어떤 버전을 업데이트해야 하나요?

weDevs Project Manager 4.1.2 미만이 영향 대상이에요. 제조사 공지의 업데이트 절차를 따라 4.1.2 이상으로 업데이트해야 해요.

Q. 사이트에 로그인 기능이 있으면 안심해도 되나요?

이번 취약점은 인증 없이 네트워크를 통해 공격할 수 있어요. 따라서 로그인 기능이 있다는 사실만으로 보호된다고 판단할 수는 없어요. 설치된 제품의 버전과 업데이트 적용 여부를 확인해야 해요.

Q. 이미 실제 공격에 사용된 취약점인가요?

이 취약점은 CISA KEV 에는 아직 등재되지 않았다. CVSS 3.1 기준 9.8이라는 점수는 기술적인 심각도를 뜻하며, 실제 공격 발생 여부를 뜻하지는 않아요. 업데이트 판단에서는 4.1.2 미만이라는 영향 범위와 인증 없는 원격 코드 실행 가능성을 기준으로 삼아야 해요.