공격자들이 WordPress 플랫폼용 Elementor Pro 플러그인의 심각한 취약점을 악용하기 시작했습니다. 이 취약점을 이용하면 악성 PHP 파일을 서버에 업로드한 뒤 원격으로 명령을 실행할 수 있습니다. 이 취약점의 식별자는 CVE-2026-32475이며, Elementor는 8월 19일 출시된 버전 4.2.2에서 이를 수정했습니다.
이 플러그인은 600만 건 이상의 활성 설치를 보유하고 있으며, 드래그 앤 드롭 인터페이스를 통해 WordPress 페이지와 사이트를 구축하는 데 사용됩니다. Wordfence 플랫폼을 개발한 Defiant에 따르면, 자사의 웹 애플리케이션 방화벽은 취약점이 수정된 이후 고객을 대상으로 한 악용 시도를 약 20만 건 차단했습니다.
악용은 어떻게 작동하는가?
문제는 Elementor Pro 양식을 통해 업로드되는 파일 배열의 검증 결함과 관련이 있습니다. 공격자는 배열의 첫 번째 요소로 빈 파일을 전송한 다음, 두 번째 요소로 악성 PHP 파일을 첨부할 수 있습니다. 이 순서로 인해 이후 파일에 대한 검증이 중단되고 악성 페이로드가 통과할 수 있습니다.
파일이 업로드되면 /wp-content/uploads/elementor/forms/ 경로에 공격자가 지정한 .php 확장자를 유지한 채 무작위 이름으로 저장됩니다. 이후 해당 파일에 직접 접근해 서버에서 명령을 실행할 수 있으므로, 공격자는 원격으로 명령을 수행할 수 있습니다.
사이트는 언제 위험에 노출되는가?
악용을 위해 사이트에 임의의 양식이 존재할 필요는 없지만, 공개된 사이트에 하나 이상의 File Upload 필드가 포함된 Elementor Pro Form 요소가 있어야 합니다. 소식통에 따르면 이러한 설정은 해당 플러그인에 의존하는 사이트에서 흔히 사용됩니다.
Wordfence는 9월 2일 공격 활동에 대해 경고했으며, 공격은 Elementor가 버전 4.2.2를 출시한 바로 그날 시작됐다고 밝혔습니다. 회사는 8월 19일부터 23일까지 활동이 증가한 것을 확인했으며, 19만 건이 넘는 악용 시도를 차단했습니다. 또한 방어자가 차단 목록에 추가할 수 있도록 공격자들이 수천 건의 공격에 사용한 IP 주소 목록도 제공했습니다.
사이트 관리자는 무엇을 해야 하는가?
Elementor Pro를 즉시 버전 4.2.2 또는 그 이후 버전으로 업데이트해야 합니다. 또한 경고에 따라 /wp-content/uploads/elementor/forms/ 경로에서 알 수 없는 PHP 파일이 있는지 검사해야 합니다. 이 경로는 양식을 통해 업로드된 파일을 저장하기 위한 곳이므로, 이곳에 PHP 파일이 존재한다면 사이트가 침해됐을 가능성이 높다는 강력한 신호이며 정리 및 조사를 진행해야 합니다.
이 소식이 중요한 이유는 무엇인가?
이 취약점이 중요한 이유는 설치 수뿐만 아니라, 웹 양식의 파일 업로드 기능을 서버에서 명령을 실행하는 지점으로 바꾼다는 데 있습니다. 또한 패치가 공개된 날 공격이 시작되면서 아직 업데이트하지 않은 사이트에는 짧은 시간의 노출 기간이 남게 됩니다. 소식통은 모든 공격이 성공했는지 여부를 입증하지는 않지만, 광범위한 규모의 활발한 악용과 대량의 차단 시도가 존재한다는 점은 확인합니다. 따라서 업데이트와 함께 업로드된 파일과 서버 로그를 확인하는 작업이 여전히 필수적입니다.