워드프레스 플러그인에서 치명적 취약점 발견... 100만개 이상 설치돼 점검 필요

단어 및 문구를 일괄 변경하는 플러그인에서 CVSS 9.8점에 달하는 취약점 발견
원격 코드 실행 및 민감 데이터 액세스, 파일 조작·삭제 등 가능
플러그인 100만개 이상 설치된 것으로 밝혀져...신속한 보안 업데이트 권장

[보안뉴스 박은주 기자] 웹페이지 제작 및 관리를 위한 오픈소스 콘텐츠 관리 시스템 워드프레스(Wordpress)의 플러그인에서 CVSS 9.8점에 달하는 치명적인 취약점이 발견됐다. 해당 플러그인은 특정 단어 및 문구를 일괄 변경하는 ‘Better Search Replace’ 플러그인으로 100만개 이상 설치된 것으로 파악돼 각별한 주의가 요구된다.

[로고=워드프레스]

취약점 CVE-2023-6933는 신뢰할 수 없는 입력값의 역직렬화로 인한 PHP(하이퍼텍스트 프이프로세서, 범용 프로그래밍 언어) 객체 삽입 취약점으로 밝혀졌다. 역직렬화는 변환된 데이터를 다시 객체나 데이터로 변환하는 과정이다. 역직렬화한 데이터에 악의적인 객체나 데이터를 삽입해서 공격하는 취약점을 ‘역직렬화 취약점’이라고 한다.

취약점을 악용하면 원격 코드 실행(RCE: Remote Code Execution), 민감한 데이터에 대한 액세스, 파일 조작·삭제, 무한 루프 서비스 거부 조건 트리거가 발생할 수 있다.

보안/IT 외신 블리핑컴퓨터에 따르면 해당 플러그인이 100만개 이상 사이트에서 활성화돼 있고, 취약점을 발견한 보안기업 워드펜스(Wordfence)가 24시간 동안 2,500건의 공격을 차단했다고 밝혔다. 활발한 공격에 대비해 신속한 보안 업데이트가 요구된다.

▲워드프레스 플러그인 취약점에 영향받는 제품 및 해결 버전[표=KISA]

워드프레스는 취약점을 해결한 ‘1.4.5’ 버전의 보안 업데이트를 발표했다. 이에 따라 한국인터넷진흥원(KISA)도 보안 공지를 통해 워드프레스 제품 보안 업데이트를 권고했다. 해당 취약점에 영향받는 제품과 해결 버전은 위 표와 같다.

이진헌 화이트해커는 “이 취약점은 기존 서버의 환경을 이용해 악의적인 행동을 유도한다”며 “워드프레스는 코드 규모가 큰 환경으로 공격할 수 있는 분야가 다양해 RCE까지 이어진 것으로 보인다”고 말했다.
[박은주 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)