WordPress 인증 없는 원격 코드 실행 취약점과 버전별 업데이트

무슨 일이 생겼나요

KISA 보호나라는 2026-11-04 WordPress의 CVE-2026-119977 취약점을 해결하는 업데이트를 권고했어요. 비유하면, 방문자가 열쇠를 보여주지 않고도 건물 안의 장치에 명령을 내릴 수 있는 문제와 비슷해요. 이 취약점은 인증 없이 네트워크를 통해 공격할 수 있고, 원격에서 임의 코드를 실행할 수 있는 문제예요.

원격 임의 코드 실행이란 공격자가 떨어진 곳에서 자신이 원하는 프로그램 명령을 실행하게 만들 수 있다는 뜻이에요. WordPress를 운영한다면 현재 사용하는 버전이 영향 범위에 들어가는지 확인해야 해요. 해결 버전은 계열마다 달라서, 업데이트했다는 사실과 함께 실제 적용된 버전도 확인해야 해요.

CVE-2026-119977은 실제 공격에 쓰이고 있음(CISA KEV 등재)이 확인된 취약점이에요. CISA KEV는 실제 공격에 악용된 것으로 알려진 취약점을 모은 목록이며, 등재일은 2026-11-03이에요. 조치기한은 2026-11-06으로 기재되어 있어요. 랜섬웨어 사용 여부는 Unknown으로 표시되어 있어, 랜섬웨어에 쓰였다고도 쓰이지 않았다고도 단정할 수 없어요.

기술적으로는 (초급 개발자용)

취약점 분류는 CWE-367이에요. CWE는 소프트웨어의 약점 유형을 구분하는 체계이며, CWE-367은 검사 시점과 사용 시점 사이의 상태 차이에서 생기는 경쟁 조건을 뜻해요. 어떤 상태를 확인한 뒤 실제로 사용하는 사이에 상태가 바뀌면, 앞서 확인한 조건과 다른 상태에서 처리가 진행될 수 있다는 의미예요.

이 분류는 약점의 성격을 설명하지만, WordPress의 어느 기능에서 어떤 상태가 바뀌는지까지 알려주지는 않아요. 구체적인 원인이 되는 처리 흐름이나 공격 요청의 형태는 확인되지 않았으므로 특정 기능이나 입력값을 공격 경로로 단정할 수 없어요.

공격 조건에서 주목할 부분은 인증 없이 가능하고 네트워크로 공격할 수 있다는 점이에요. 공격에 계정 인증이 필요하지 않으므로, 로그인 계정을 관리하는 것만으로 이 취약점의 대응을 마쳤다고 볼 수 없어요. 다만 인증이 필요 없다는 설명이 모든 환경에서 공격이 반드시 성공한다는 뜻은 아니에요.

NVD는 2026-10-31 이 취약점을 게시했고, CVSS 3.1 기준 점수는 8.1, 심각도는 HIGH로 표시했어요. CVSS는 취약점의 기술적 심각도를 평가하는 공통 기준이에요. 이 점수는 개별 WordPress 사이트가 이미 침해되었다는 판정은 아니에요. 대응 우선순위를 정할 때는 높은 심각도와 실제 공격 악용 사실을 함께 고려해야 해요.

누가 영향을 받나요

일반 사용자

WordPress로 만든 사이트를 운영하거나 관리를 맡기고 있다면, 운영 담당자에게 현재 버전과 해결 버전 적용 여부를 확인해 달라고 요청하세요. 사이트가 평소처럼 열린다는 사실만으로 이 취약점이 해결되었다고 판단할 수는 없어요. 방문자 화면의 정상 여부와 설치된 버전의 보안 상태는 별도로 확인해야 해요.

WordPress 사이트를 방문했다는 이유만으로 방문자의 기기가 이 취약점에 감염되었다고 단정할 수는 없어요. 이번 권고의 직접적인 확인 대상은 영향받는 WordPress 설치 환경이에요. 사이트 운영자는 실제 공격 악용 사실을 근거로 업데이트를 챙기되, 자신의 사이트에서 정보 유출이나 침해가 발생했다고 미리 결론 내릴 필요는 없어요.

개발자

WordPress를 사용하는 개발자는 자신이 다루는 환경의 버전을 계열별 해결 기준과 대조해야 해요. 예를 들어 6.8.11은 영향받는 범위에 포함되고, 해당 계열의 해결 기준은 6.8.12 이상이에요. 버전의 마지막 숫자만 보고 서로 다른 계열을 비교하면 판단을 잘못할 수 있어요.

CWE-367 분류만 보고 특정 코드 위치를 원인으로 지목하거나 자체 수정으로 해결되었다고 판단하지 마세요. 이번 대응은 제조사가 배포한 해결 버전을 적용하는 데 초점을 맞춰야 해요. 적용 뒤에는 실제 버전이 바뀌었는지 확인하고, 운영에 필요한 기능도 정상적으로 동작하는지 점검하세요.

서버·장비 담당자

서버 담당자는 관리 중인 WordPress 설치 환경마다 현재 버전과 업데이트 상태를 확인해야 해요. 서로 다른 계열을 운영하고 있다면 동일한 버전 기준을 일괄 적용하지 말고, 각 계열의 영향 범위와 해결 버전을 따로 대조하세요. 일부 환경의 업데이트 완료가 나머지 환경의 해결까지 뜻하지는 않아요.

CISA KEV 등재일인 2026-11-03과 기재된 조치기한인 2026-11-06을 업데이트 일정 판단에 참고하세요. 인증 없는 네트워크 공격이 가능하고 실제 공격에도 쓰이고 있으므로, 영향받는 환경의 업데이트를 우선적으로 검토할 근거가 있어요. 다만 KEV의 조치기한을 모든 운영자에게 동일하게 적용되는 의무기한이라고 단정해서는 안 돼요.

지금 할 일

1. 관리 중이거나 관리를 맡긴 WordPress의 현재 버전을 확인하세요. 영향 범위의 '이상'과 '이하'는 경계 버전도 포함한다는 뜻이에요. 현재 버전이 아래 범위에 들어가는지 계열별로 대조하세요.
2. 4.7.0 이상 4.7.38 이하는 4.7.39 이상, 4.8.0 이상 4.8.33 이하는 4.8.34 이상, 4.9.0 이상 4.9.34 이하는 4.9.35 이상이 해결 기준이에요. 5.0.0 이상 5.0.30 이하는 5.0.31 이상, 5.1.0 이상 5.1.27 이하는 5.1.28 이상, 5.2.0 이상 5.2.29 이하는 5.2.30 이상, 5.3.0 이상 5.3.26 이하는 5.3.27 이상, 5.4.0 이상 5.4.24 이하는 5.4.25 이상으로 업데이트하세요.
3. 5.5.0 이상 5.5.23 이하는 5.5.24 이상, 5.6.0 이상 5.6.22 이하는 5.6.23 이상, 5.7.0 이상 5.7.20 이하는 5.7.21 이상, 5.8.0 이상 5.8.18 이하는 5.8.19 이상, 5.9.0 이상 5.9.19 이하는 5.9.20 이상이 해결 기준이에요. 6.0.0 이상 6.0.17 이하는 6.0.18 이상, 6.1.0 이상 6.1.15 이하는 6.1.16 이상으로 업데이트하세요.
4. 6.2.0 이상 6.2.14 이하는 6.2.15 이상, 6.3.0 이상 6.3.13 이하는 6.3.14 이상, 6.4.0 이상 6.4.13 이하는 6.4.14 이상, 6.5.0 이상 6.5.13 이하는 6.5.14 이상, 6.6.0 이상 6.6.10 이하는 6.6.11 이상, 6.7.0 이상 6.7.10 이하는 6.7.11 이상, 6.8.0 이상 6.8.11 이하는 6.8.12 이상으로 업데이트하세요.
5. 6.9.0 이상 6.9.10 이하는 6.9.11 이상, 7.0.0 이상 7.0.7 이하는 7.0.8 이상, 7.1.0 이상 7.1.3 이하는 7.1.4 이상으로 업데이트하세요. 각 해결 버전은 대응하는 계열과 연결해서 읽어야 해요.
6. 적용할 해결 버전을 정했다면 제조사 공지의 업데이트 절차를 따르세요. 직접 관리하지 않는 WordPress라면 담당자에게 현재 버전, 적용할 해결 버전, 업데이트 완료 여부를 확인해 달라고 요청하세요.
7. 업데이트 뒤에는 실제 적용 버전과 해당 계열의 해결 기준을 다시 대조하세요. 사이트의 정상 동작까지 확인한 뒤, 관리 대상 중 영향받는 버전이 남아 있는지 검토하세요.

바로 업데이트하기 어렵다면

• 바로 업데이트하기 어렵다면 제조사 공지에서 적용 가능한 임시 대응을 확인한 뒤, 해당 WordPress 환경에 대한 네트워크 접근을 필요한 범위로 제한하는 방안을 검토하세요. 접근 제한은 해결 버전 적용을 대신하는 조치로 보아서는 안 돼요.
• 제조사 공지를 확인하고 서비스 운영에 필요한 범위를 검토한 뒤, WordPress 환경의 불필요한 외부 노출을 줄이는 방안을 고려하세요. 이런 조치만으로 CVE-2026-119977의 공격을 차단한다고 보장할 수는 없어요.

업데이트 후 확인

• 업데이트가 끝난 환경의 실제 WordPress 버전을 확인하고, 해당 계열의 해결 버전 이상인지 대조하세요. 업데이트 작업을 시작했거나 완료 안내를 받았다는 사실만으로 확인을 끝내지 마세요.
• 관리하는 WordPress 환경을 각각 확인해 영향받는 버전이 남아 있지 않은지 점검하세요. 특히 여러 계열을 함께 운영한다면 계열별 해결 기준을 따로 적용하세요.
• 업데이트 후 사이트 접속과 운영에 필요한 기능이 정상적으로 동작하는지 확인하세요. 정상 동작 확인과 취약점 해결 버전 확인은 각각 수행해야 해요.
• 해결 버전을 적용했다는 사실만으로 과거 침해 여부까지 판정하지 마세요. 이번 업데이트의 확인 결과와 기존 침해 여부에 대한 판단은 구분해야 해요.

해외 동향 (NVD·CISA KEV)

실제 공격에 쓰이고 있음(CISA KEV 등재) — 미국 사이버보안·기반시설보안청(CISA)이 실제 악용을 확인한 취약점 목록에 CVE-2026-119977(2026.11.03 등재)이 올라 있어요.

제조사 공식 공지

• https://wordpress.org/news/2026/10/wordpress-7-1-4/
• https://wordpress.org/documentation/wordpress-version/version-7-1-4/

자주 묻는 질문

Q. 로그인을 막거나 비밀번호를 바꾸면 해결되나요?

이 취약점은 인증 없이 네트워크로 공격할 수 있어요. 따라서 로그인 제한이나 비밀번호 변경만으로 해결되었다고 볼 수 없어요. 현재 WordPress 버전을 확인하고 해당 계열의 해결 버전으로 업데이트해야 해요.

Q. 해결 버전 가운데 아무 버전이나 골라도 되나요?

현재 사용하는 계열에 연결된 해결 기준을 확인해야 해요. 예를 들어 6.9.10은 영향받는 버전이고 해당 계열에서는 6.9.11 이상이 해결 기준이에요. 다른 계열의 해결 버전을 현재 계열의 기준으로 읽으면 안 돼요. 실제 업데이트는 제조사 공지의 절차를 따르세요.

Q. 실제 공격에 쓰였다면 제 사이트도 이미 피해를 본 건가요?

CVE-2026-119977이 실제 공격에 쓰이고 있음(CISA KEV 등재)은 사실이며, 등재일은 2026-11-03이에요. 하지만 이 사실만으로 개별 사이트의 침해 여부를 알 수는 없어요. 랜섬웨어 사용 여부도 Unknown이므로 랜섬웨어 피해를 단정할 수 없어요. 영향받는 버전인지 확인하고 해결 버전 적용을 진행하세요.