워드프레스 보안 업데이트 7.0.3

워드프레스 취약점이 발견되어 긴급하게 7.0.3 버전을 8월 6일에 출시하였습니다.

이미 워드프레스를 7.0.3 버전으로 업데이트를 하였다면 조치를 취할 필요는 없습니다.

워드프레스 사이트 기반인 우커머스 스토어, 회사 웹사이트, 편집 사이트, 멀티 사이트 네트워크를 운영한다면 이 취약점이 영향을 미칠 수 있습니다.

이번 업데이트는 로그인, 콘텐츠 편집, 댓글, URL 검증, 사용자 권한 등 핵심 보안 문제에 관한 것입니다.

사전 인증 반영 XSS 공격으로 원격 코드 실행으로 이어질 수 있기 때문입니다.

주요 쟁점

CVE-2026-64638 /GHSA-52p2-r8wf-jcrf 로그인 화면 스크립트 삽입(XSS)

위험도 : 높음

예상 피해 : 공격이 성공할 경우 관리자 권한을 탈취하여 서버에서 임의의 코드를 실행할 수 있으므로 사이트를 변조하거나 악성 코드를 설치할 수 있음.

공격 방식 : 공격자가 계정 없이 만든 공격용 링크를 로그인이 된 상태에서 클릭을 하면 공격이 성공함. 메일, 메신저 등으로 관리자에게 링크 클릭을 유도하는 방식을 사용할 수도 있음.

영향 버전 : 워드프레스 4.7 ~ 7.0.2 버전

해결 방법 : 워드프레스 7.0.3 버전으로 업데이트할 것.

발견된 취약점

Post Date 블록에 포함된 기여자+ 저장 크로스 사이트 스크립팅(XSS) 문제 발생.

Post Content 블록에 Contributor+ 저장된 크로스 사이트 스크립팅(XSS) 문제 발생.

최신 댓글 블록에서 비밀번호로 보호된 게시물에 대한 댓글이 노출되는 정보 공개 문제 발생.

이메일 주소 확인 절차 우회 가능.

안전한 CSS 속성 필터를 우회한 Author+ CSS 주입 문제 발생.

기여자+ 이모지 설정 요소를 통해 게시물에 저장된 크로스 사이트 스크립팅(XSS) 문제 발생.

사용자 등록이 활성화된 다중 사이트 네트워크에서 사용자가 새 사이트를 생성할 수 있는 권한 상승 문제 발생.

링크-로컬 범위로 요청을 허용하는 URL 검증 시 서버 측 요청 위조(SSRF) 가능.

로그인 화면에 사전 승인이 반영된 사이트 스크립팅(XSS) 문제가 발생히여 PHP 코드 실행으로 이어질 가능성이 있음.

댓글 피드에 기록된 메모 공개 가능.

포스트 슬러그 열거 가능.

Contributor+ 저장 크로스 사이트 스크립팅(XSS) 문제는 사용자 수가 많은 사이트의 Quick Edit에 포함되어 있음.

워드프레스 7.0.3 버전으로 업데이트 후 확인 및 조치 사항

워드프레스가 7.0.3 버전으로 변경이 되었는지 확인한 후 사이트의 정상 동작 여부를 확인하여야 합니다.

간혹, 워드프레스의 버전에 따라 테마 혹은 플러그인 간에 문제가 발생하여 사이트의 레이아웃이나 이미지 등이 정상적으로 보이지 않을 수도 있기 때문입니다.

관리자 페이지에 접속한 후 주요 기능이 잘 동작하는지 확인하여야 합니다.

관리자 계정으로 로그인한 상태에서 출처가 불분명한 링크는 절대 클릭하지 말아야 합니다.

설치된 플러그인 및 테마를 되도록 최신 버전으로 업데이트하여야 합니다.

사용하지 않는 플러그인이나 테마는 삭제합니다.

관리자 비밀번호를 복잡하게 설정하고 주기적으로 변경할 것을 권장합니다.

정기적인 백업을 수행합니다.

마치며…

이전에는 워드프레스에서 취약점이 발견되는 일이 비교적 드물었지만 최근에는 Ai의 도움을 받아 이례적으로 많은 취약점이 발견되는 것 같습니다.

이번에 발견된 취약점은 12개이며 공식 발표에서는 최소한의 설명만 제공하고 심각성에 대한 정보를 정확히 알기 어려워서 일반 사용자가 업데이트의 긴급함과 중요성을 이해하기 어려울 수 있습니다.

하지만 워드프레스 기반에 사이트를 운영하고 있다면 반드시 7.0.3 버전으로 업데이트를 하시기 바랍니다.