미국 사이버 보안 및 인프라 보안국(CISA)은 콘텐츠 관리 시스템인 WordPress의 고위험 보안 취약점이 활발히 악용되고 있다는 긴급 경고를 연방 기관들에 발령했습니다. CVE-2026-119977로 식별된 이 취약점은 '원격 코드 실행'(RCE) 범주에 속하며, 공격자가 대상 서버를 장악할 수 있는 권한을 부여합니다.
이 취약점은 WordPress 코어 업데이트 과정에서 발생하는 '경쟁 상태'(Time-of-check Time-of-use - TOCTOU)라는 기술적 결함에서 비롯됩니다. 공격자들은 전체 시스템 패키지 업그레이드 과정에서 웹을 통해 접근 가능한 임시 경로를 악용하여 복잡한 환경에서 악성 코드를 실행합니다.
공식 조치 및 공격 확대
이러한 위협에 따라 CISA는 해당 취약점을 '알려진 악용 취약점'(KEV) 카탈로그에 추가하고, 연방 민간 기관들이 다음 주 금요일까지 시스템을 보호하도록 강제하는 구속력 있는 지침(BOD 26-04)을 발표했습니다. 이 지침은 미국 정부 기관에만 구속력이 있지만, CISA는 전 세계 민간 부문의 네트워크 관리자들에게도 즉시 시스템 업데이트를 우선순위에 둘 것을 촉구했습니다.
현장 데이터에 따르면 공격 규모가 확대되고 있습니다. 보안 기업 Wordfence는 활동이 감지된 후 단 24시간 동안 이 취약점을 노린 13,095건 이상의 공격을 차단했다고 보고했습니다.
실질적인 변화
이 취약점의 진정한 위험은 기존 보안 장벽을 우회할 수 있다는 점에 있습니다. 공격자는 사이트에 대한 사전 계정이나 접근 권한 없이도 명령을 실행할 수 있습니다. 또한 '업데이트 창'을 악용하기 때문에 일상적인 시스템 유지 관리 중에 발생하여 의심스러운 활동을 탐지하기가 어렵습니다.
이번 위협은 최근 WordPress를 겨냥한 일련의 취약점들과 맥을 같이 합니다. 지난 9월에는 wp2shell 취약점 시리즈가 악용되어 중소기업 및 정부 기관의 18,500개 이상의 기록에서 데이터가 탈취된 바 있습니다. 이러한 위험을 방지하기 위해 모든 사이트 관리자는 즉시 WordPress 7.1.4 버전 또는 보안 패치가 포함된 최신 버전으로 업데이트해야 합니다.