CVE-2026-119977: 소프트웨어 업그레이드 중 악용된 워드프레스 코어 RCE 결함

WordPress 코어의 높은 심각도 취약점이 공격에서 적극적으로 대상이 되고 있으며, 미국 사이버 보안 및 인프라 보안국(CISA)이 이 결함을 ‘알려진 익스플로잇 취약점'(KEV) 카탈로그에 추가하게 되었습니다. CVE-2026-119977로 추적된 이 취약점은 CVSS 점수 8.1을 가지며, 인증되지 않은 공격자가 WordPress 코어 업그레이드 중 취약한 서버에서 임의의 코드를 실행할 수 있게 합니다.

이 취약점은 WordPress 업그레이드 과정의 검사 시점 사용 시점(TOCTOU) 경쟁 조건에서 비롯됩니다. 전체 패키지 코어 업데이트 동안, WordPress는 설치 파일을 예측 가능한 웹 접근 가능한 위치에 임시로 준비합니다. 공격자는 이러한 위치를 반복적으로 탐색하고, 업그레이드가 진행되는 짧은 기간 동안 설치 구성 요소에 도달하려고 시도할 수 있습니다.

WordPress는 2026년 10월 28일에 릴리스된 버전 7.1.4에서 이 문제를 해결했습니다. 취약점은 WordPress 버전 4.7부터 7.1.3까지 영향을 미치며, 보안 수정은 적격한 구 버전에도 역 포팅되었습니다. WordPress는 최신 릴리스만 적극적으로 지원된다고 강조합니다.

위험은 이론적인 악용을 넘어섰습니다. The Hacker News에 의해 인용된 Wordfence 텔레메트리는 공개 후 첫 21시간 동안 설치 구성 파일 설치 경로를 목표로 삼은 18,500건 이상의 요청을 기록했습니다. 그 후 CISA는 악용 증거를 확인하고, 2026년 11월 6일까지 관련 미국 연방 민간 기관에 취약점을 수정하도록 요구했습니다.

보안 팀은 SOC Prime 플랫폼을 사용하여 새로 발생한 악용 기술에 대한 탐지 범위를 강화하고, 취약한 인터넷 연결 시스템과 관련된 의심스러운 활동을 추적할 수 있습니다. WP 업그레이드 위치에 대한 비정상적 요청, 예상치 못한 PHP 실행, 새로 생성된 관리자 계정, 의심스러운 파일 및 악용 후 행동을 모니터링하여 CVE-2026-119977 악용을 탐지하십시오.

모든 CVE에 대해 탐지 콘텐츠가 제공되는 것은 아닙니다. 현재의 범위를 SOC Prime 플랫폼에서 확인하십시오. 관련 탐지가 아직 제공되지 않은 경우, 새로운 위협 인텔리전스 및 탐지 콘텐츠가 지속적으로 추가되므로 다시 확인하십시오.

영업 팀에 문의하십시오

CVE-2026-119977 분석

CVE-2026-119977은 CWE-367에 따른 TOCTOU 경쟁 조건으로 분류되며, CVSS 3.1 점수는 8.1입니다. 이는 네트워크 기반 악용을 반영하며, 권한이나 사용자 상호작용이 필요하지 않으며, 기밀성, 무결성 및 가용성에 높은 영향을 미칠 수 있습니다. 공격 복잡도는 성공적인 악용이 업그레이드 창 내에 취약한 리소스에 도달해야 하므로 높은 것으로 평가됩니다.

CVE-2026-119977는 버전 4.7부터 7.1.3까지의 WordPress 코어 릴리스에 영향을 미칩니다. 이 약점은 서드파티 플러그인이나 테마와 연결되지 않으며, 코어 소프트웨어 업그레이드 메커니즘 자체에 존재합니다.

문제는 전체 패키지 코어 업그레이드 중에 발생합니다. WordPress는 기존 설치를 교체하기 전에 새 패키지를 wp-content/upgrade 디렉터리 아래의 준비 위치에 임시로 추출합니다. 영향을 받는 릴리스에서는 이 준비 위치의 일부가 예측 가능하고 업그레이드가 진행되는 동안 웹에서 접근할 수 있습니다.

특히 중요한 구성 요소는 준비된 setup-config.php 설치 프로그램입니다. 인증되지 않은 공격자가 임시 경로를 정확히 예측하여 WordPress가 정리를 완료하기 전에 해당 구성 요소에 도달하면, 준비된 설치와 상호 작용하고 궁극적으로 서버에서 PHP 코드를 실행할 수 있을 수 있습니다.

이것은 비정상적인 악용 모델을 만듭니다. 취약한 WordPress 사이트가 반드시 지속적으로 악용 가능한 것은 아닙니다. 대신 공격자는 전체 패키지 업그레이드가 준비 파일을 노출하는 짧은 기간 동안 사이트를 포착해야 합니다. 연구자들은 이 기회가 몇 초만 지속될 수 있다고 지적합니다.

공격자는 자동화를 통해 그 제한을 보완할 수 있습니다. 단일 요청을 하는 대신, 위협 행위자는 잠재적인 업그레이드 경로를 지속적으로 탐색하고 대상이 업데이트를 시작할 때까지 기다릴 수 있습니다. Wordfence는 공격자가 준비된 설치 경로의 변형을 반복적으로 요청하는 것을 관찰했으며, 실제 세계의 행위자들이 경쟁 조건을 겨냥하는 방법을 빠르게 이해했음을 보여줍니다.

관찰된 요청의 대량은 신중하게 해석되어야 합니다. 보고된 수치는 차단된 요청이나 악용 시도를 나타내며, 모든 요청이 성공적인 원격 코드 실행으로 이어진 것은 아닙니다. 악용은 여전히 활성 전체 패키지 업그레이드와 기타 필요한 서버 조건과 일치해야 합니다.

Wordfence의 초기 텔레메트리는 첫 21시간 동안 준비된 설치 경로에 대해 18,500건 이상의 요청을 보여주었습니다. GBHackers는 24시간 이내에 거의 59,000회의 시도가 차단되었다고 후속 보도를 했으며, The Hacker News는 추가 텔레메트리를 인용하여 지속적인 악용 활동을 증명했습니다.

The Hacker News에 의해 인용된 독립적인 허니팟 텔레메트리는 10월 30일에 악용 시도를 기록했으며, 이는 CISA가 이 취약점을 적극적으로 악용된 것으로 분류하는 결정을 뒷받침합니다. CISA의 KEV에 결함 추가는 퍼블릭 WordPress 인프라를 운영하는 조직들에게 긴급성을 크게 높입니다.

작성 시점에 검토된 자료는 광범위하게 검증된 CVE-2026-119977 PoC 저장소를 문서화하지 않습니다. 그러나 공공 익스플로잇 코드는 리스크를 확립하기 위해 필요하지 않으며, 대규모로 악용 시도가 이미 관찰되었고, CISA는 적극적인 악용을 확인했습니다.

WordPress 7.1.4는 취약한 업그레이드 프로세스를 변경합니다. 가능한 기술 보고서에 따르면 수정은 준비 위치를 덜 예측 가능하게 만들고, 직접 액세스에 대한 추가 보호를 도입하며, 준비된 구성 데이터를 안전하지 않게 승격되지 않도록 방지하는 것을 포함합니다.

WordPress는 보안 연구원 Umut Bayram에게 업그레이드 프로세스 약점을 보고한 공로를 인정했습니다. 버전 7.1.4는 2026년 10월 28일에 릴리스되었으며, CVE 기록은 10월 31일에 발표되었습니다.

CVE-2026-119977 탐지를 위해 수비수는 특히 준비된 구성 복사본을 참조하는 wp-content/upgrade 아래의 비정상 경로를 대상으로 하는 웹 요청에 주목해야 합니다. 여러 가능한 준비 디렉터리를 가로지르는 반복적인 요청은 경쟁 조건을 이기기 위한 자동화된 탐색을 나타낼 수 있습니다.

성공적인 악용은 영향을 받는 웹 서버의 컨텍스트에서 원격 PHP 코드 실행을 제공할 수 있습니다. 따라서 수비수는 의심스러운 업그레이드 경로 요청을 예상치 못한 PHP 파일, WordPress 구성 데이터 수정, 불명확한 관리자 계정, 악성 플러그인, 웹 서버에 의해 생성된 비정상적 하위 프로세스, 예상치 못한 아웃바운드 연결 등의 후속 증거와 연관시켜야 합니다.

공식 보고서는 안정적인 명령 및 제어 도메인이나 맬웨어 해시와 같은 공격자 인식의 CVE-2026-119977 IOC 전체 세트를 식별하지 않았습니다. 이는 행동 기반 탐지가 특히 중요함을 의미합니다. 예측 가능 준비 경로로의 요청, 업데이트 창 동안의 의심스러운 활동, 악용 후 수정 내용이 정적 지표에만 의존하는 것보다 더 지속가능한 추적 기회를 제공합니다.

CVE-2026-119977 완화

CVE-2026-119977의 주요 완화 방법은 WordPress를 즉시 업데이트하는 것입니다. WordPress 7.1.4에는 보안 수정이 포함되어 있으며, 적격한 구 버전에도 수정이 제공되거나 역 포팅되었습니다. 조직은 레거시 보안 역 포팅에 무기한 의존하지 않고, 최신 적극 지원되는 WordPress 버전으로의 전환을 우선해야 합니다.

관리자는 다음 조치를 취해야 합니다:

1. 인터넷에 연결된 WordPress 설치를 버전 7.1.4 이상으로 업그레이드하십시오.
2. 업데이트가 성공적으로 완료되었음을 확인하고, 업데이트가 적용되었다고 가정하지 말아야 합니다.
3. 구개발, 스테이징, 레거시 사이트를 포함한 오래된 WordPress 설치를 목록화하십시오.
4. wp-content/upgrade와 준비된 setup-config.php 경로를 대상으로 하는 요청에 대한 웹 서버와 WAF 로그를 검토하십시오.
5. 예상치 못한 PHP 파일, 새로운 WordPress 관리자 계정, 권한이 없는 플러그인, 및 설명되지 않은 구성 변경 사항을 조사하십시오.
6. 악용 후 활동의 증거로서 아웃바운드 연결과 웹 서버 하위 프로세스를 검토하십시오.
7. 임시 PHP 파일에 대한 직접 요청을 다루기 위해 요청 경로에서 WAF 보호가 충분히 빨리 작동하는지 확인하십시오.
8. 운영적으로 가능한 곳에서 임시 업그레이드 디렉토리에 대한 직접 웹 액세스를 제한하는 것을 고려하십시오.

웹 애플리케이션 방화벽 규칙은 자동화된 악용 시도에 대한 노출을 줄일 수 있지만, 패치의 대안으로 간주해서는 안 됩니다. 취약한 리소스가 정상 WordPress 요청 흐름 외부에 일시적으로 존재할 수 있으므로, 관리자는 자신의 WAF 배포가 준비된 PHP 파일에 대한 직접 요청을 실제로 검사하는지 확인해야 합니다.

활성 악용이 이미 진행 중일 때 업그레이드한 조직은 회고적 조사도 고려해야 합니다. 업데이트를 완료하면 취약한 행동을 제거하지만, 준비된 디렉터리가 사용 가능할 때 서버가 손상되지 않았음을 입증하지는 않습니다.

정확한 업그레이드 타임 스탬프를 둘러싼 액세스 로그를 검토하십시오. 업그레이드 직전이나 도중에 영향을 받은 준비 경로에 대한 요청은 추가로 조사를 받아야 합니다. 보안 팀은 파일 시스템 변경, WordPress 계정 수정, PHP 실행, 의심스러운 네트워크 연결 및 기타 악용 후 지표와 이러한 요청을 상관시켜야 합니다.

타협이 의심되는 경우, 실용적인 경우 영향을 받은 호스트를 격리하고, 관련 웹, 애플리케이션, 인증 및 시스템 로그를 보존하며, 수정 전에 의심스러운 파일을 수집하십시오. WordPress/PHP 프로세스에서 접근할 수 있는 자격 증명 및 비밀은 잠재적으로 노출되었을 수 있으며, 조사의 결과에 따라 회전해야 합니다.

CISA의 KEV에 대한 취약점 포함은 수정이 루틴 패치 사이클 항목이 아니라 즉각적인 운영 우선순위로 처리되어야 함을 확인합니다. 연방 민간 행정부 기관은 2026년 11월 6일까지 이 문제를 해결하도록 지시받았습니다.