WordPress Core 원격 코드 실행(RCE) 취약점 긴급 보안 권고 (CVE-2026-119977)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTWordPress Core 4.7 버전부터 7.1.3 버전까지의 모든 설치본
인증되지 않은 공격자가 코어 업데이트 과정 중 예측 가능한 임시 경로를 악용하여 서버 내 임의 명령을 실행(RCE)할 수 있음
WordPress 7.1.4 이상 버전으로 즉시 업데이트를 수행하고, 업데이트 중 생성되는 임시 디렉토리에 대한 외부 접근을 차단하십시오.
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND1. 최신 버전 업데이트 WordPress 관리자 대시보드 또는 WP-CLI를 사용하여 즉시 7.1.4 버전 이상으로 업데이트하십시오.
# WP-CLI를 이용한 업데이트 예시
wp core update --version=7.1.42. WAF 및 웹 서버 설정 강화 업데이트 과정 중 생성되는 임시 디렉토리에 대한 외부 접근을 차단하는 규칙을 적용하십시오. `.htaccess` 또는 Nginx 설정에 다음을 추가하십시오.
# Nginx 예시: upgrade 디렉토리 접근 제한
location ~* /wp-content/upgrade/.*\.php$ {
deny all;
}3. 파일 권한 점검 `wp-content/upgrade` 디렉토리의 권한을 최소화하고, 업데이트가 완료된 후 해당 디렉토리가 비어 있는지 확인하십시오.
코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
본 취약점은 WordPress 코어 업데이트 프로세스에서 발생하는 경쟁 상태(Race Condition, CWE-367) 및 예측 가능한 경로 생성 문제입니다. WordPress가 전체 패키지 업데이트를 수행할 때, 새로운 파일을 압축 해제하기 위해 wp-content/upgrade/ 하위에 웹에서 접근 가능한 임시 디렉토리를 생성합니다. 공격자는 이 디렉토리의 명명 규칙이 예측 가능하다는 점을 악용하여, 업데이트가 진행되는 짧은 시간(Window) 동안 악성 PHP 파일을 해당 경로에 주입할 수 있습니다. 이후 WordPress 업그레이더가 해당 파일들을 운영 디렉토리로 이동시키면서 공격자의 코드가 실행되게 됩니다. CISA KEV에 등재된 만큼 실제 공격 사례가 보고되고 있으며, EPSS 점수가 0.94로 매우 높아 즉각적인 대응이 필요합니다.
공식 보안 권고문 및 참조 링크
WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This is due to predictable, web-accessible staging paths used during full-package core upgrades. This makes it possible for unauthenticated attackers to execute code on the server during the upgrade window.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.