공격자가 adminmenueditor.com에 무단으로 접근해 워드프레스용 Admin Menu Editor Pro 플러그인의 악성 버전 두 개를 배포했다고 플러그인 개발자 Janis Elsts가 밝혔다. 버전 2.35에는 웹셸과 숨겨진 사용자 계정을 생성하는 PHP 코드가 삽입됐으며, 정상 버전인 2.36도 개발자가 사이트 통제권을 회복하기 전에 역시 변조됐다.
버전 2.35는 2026년 9월 15일 06:00부터 13:00(UTC)경까지 제공된 뒤 철회됐다. 침해 사실을 발견한 후 Elsts는 같은 날 19:00(UTC)에 버전 2.36을 배포했지만, 공격자는 여전히 사이트에 접근할 수 있었고 새 버전도 변조했다.
영향 규모는 아직 확정되지 않음
개발자는 업데이트 서버 로그를 분석한 결과 첫 번째 공격에서 약 230명의 고객이 영향을 받았으며, 일부 고객이 여러 사이트를 운영하기 때문에 악성 버전이 최소 1,500개 사이트에 설치됐다고 밝혔다. 또한 수백 명의 고객이 같은 시간대 또는 그 전후에 플러그인을 다운로드했으므로 최종 피해 규모는 더 커질 수 있으며, 특히 배포된 후 변조된 버전 2.36의 경우 그럴 가능성이 높다고 덧붙였다.
Admin Menu Editor Pro는 워드프레스 관리자가 대시보드 메뉴를 사용자 지정하고, 특정 사용자에게 플러그인을 숨기며, 역할별 권한을 설정하고, 로그인 및 로그아웃 시 리디렉션을 생성할 수 있도록 한다. 반면 30만 개가 넘는 사이트에 설치된 무료 버전 Admin Menu Editor는 현재 확인된 정보에 따르면 영향을 받지 않은 것으로 보인다.
무엇을 확인해야 하는가?
버전 2.35 또는 2.36을 설치한 모든 사용자는 다음과 같은 침해 지표를 확인해야 한다.
- admin-menu-editor-pro 폴더 안에 includes/wp-user-consent.php 파일이 존재하는지 확인한다.
- 새로 생성된 /wp-content/object-cache/ 폴더가 존재하는지 확인한다.
- wp_users 테이블에 이름이 wp_로 시작하는 사용자가 존재하는지 확인한다. 이 사용자는 워드프레스 대시보드에 표시되지 않을 수 있다.
- wp_options 테이블에 wp_ocache* 형식의 이름을 가진 옵션이 존재하는지 확인한다.
사이트 관리자에게 실질적으로 달라지는 점은 무엇인가?
개발자는 악성 업데이트를 제거하고 사건 및 확인 절차를 설명하는 정적 페이지를 게시했지만, 조사 결과 공격자가 서버의 루트 수준 권한을 보유했을 가능성이 있다는 결론에 도달한 후 사이트를 중단했다. 이는 배포 채널 자체가 침해된 경우 플러그인을 새 버전으로 업데이트하는 것만으로는 반드시 충분하지 않을 수 있기 때문에 중요하다.
버전 2.34는 안전한 것으로 여겨진다. 개발자는 9월 14일 이전에 생성된 신뢰할 수 있는 백업에서 사이트를 복원하는 것이 가장 신뢰할 수 있는 조치라고 권고한다. 복원이 불가능한 경우에는 플러그인과 /wp-content/object-cache/ 폴더, 그리고 해당 계정 및 앞서 언급한 옵션과 관련된 데이터베이스 항목을 삭제하는 것이 권고된다. 다만 이러한 단계만으로는 사이트가 추가적인 변경을 받은 경우 침해 흔적을 모두 제거할 수 있다는 점이 출처에서 입증된 것은 아니다. 따라서 영향을 받은 사용자에게는 사이트 무결성과 백업을 검토하는 일이 여전히 해결되지 않은 과제로 남아 있다.