실제 공격에서 악용됨이 확인된 취약점(CISA KEV 등재)에 대한 방어 관점의 권고입니다. 무슨 일이 일어나는지, 어떤 제품이 영향을 받는지, 어떻게 대응할지를 다루며, 공격 방법이나 개념 증명(PoC)은 포함하지 않습니다.
6.8 브랜치는 같은 RCE 체인의 영향을 받지 않습니다
공식 공지는 6.9/7.0에 대해 두 CVE를 모두 나열하지만, 6.8에 대해서는 CVE-2026-60137만 나열합니다. 6.8.6으로 업데이트하라는 안내가 해당 브랜치가 CVE-2026-63030의 영향을 받는다는 뜻은 아닙니다.
- CVE
- CVE-2026-63030(라우트 혼동, CWE-436) + 연쇄 결합된 CVE-2026-60137(SQLi, CWE-89)
- 심각도
- 치명적(CVSS 9.8) — 실제 악용 중(CISA KEV; 조치 기한 2026-07-24)
- 유형
- REST API 라우트 혼동 × author__not_in SQL 인젝션 → 인증 없는 SQLi → RCE
- 영향
- 인증 없는 SQL 인젝션, 원격 코드 실행(RCE), 데이터 탈취
- 영향 버전
- 63030: 6.9.x / 7.0.x 영향; 6.8.x는 60137에만 영향
- 주요 해결책
- 6.8.6 / 6.9.5 / 7.0.2 이상으로 업데이트
인증 없이 도달
REST API 라우트 혼동(CWE-436)
author__not_in를 통한 SQL 인젝션
RCE 및 데이터 탈취
해결: 6.8.6 / 6.9.5 / 7.0.2 이상으로 업데이트
패치하지 않는 것이 위험한 이유
RCE는 인증 없이 도달할 수 있으므로, 공개된 워드프레스 사이트는 대규모 자동화 스캔의 대상이 됩니다. 이 결함은 특정 플러그인에 국한되지 않는 코어의 결함이므로, 영향을 받는 버전을 사용하는 모든 사이트가 잠재적 대상입니다. CISA는 연방 기관에 2026-07-24까지 조치할 것을 명령했습니다. "우리는 규모가 작아서 표적이 되지 않는다"는 주장은 성립하지 않습니다.
영향을 받는 대상
| 항목 | 상세 |
|---|---|
| 대상 | 워드프레스 코어 |
| 영향을 받는 버전 | 6.8.0–6.8.5 (60137) / 6.9.0–6.9.4 / 7.0.0–7.0.1 |
| 수정된 버전 | 6.8.6 / 6.9.5 / 7.0.2 이상 |
| 전제 조건 | 연쇄 시 인증 불필요 |
| 도달 가능한 영향 | SQL 인젝션 → 원격 코드 실행(RCE); 데이터 탈취 |
| 상태 | 두 결함 모두 실제 악용 중(CISA KEV; 조치 기한 2026-07-24) |
출처별 심각도 점수 차이에 대한 참고(양쪽 모두)
CVE-2026-60137 단독의 심각도는 출처마다 다릅니다. WPScan은 CVSS 5.9로 평가합니다(단독으로는 플러그인/테마가 신뢰할 수 없는 입력을 author__not_in에 전달해야 하며, 이것이 도달 가능성의 전제 조건입니다). 반면 CISA는 9.1로 평가합니다. CVE-2026-63030의 라우트 혼동과 결합되면 REST API를 통해 직접 도달할 수 있고, 사실상 인증 없이 악용 가능해집니다(CVSS 9.8). 차이는 각 기관이 도달 가능성의 전제 조건을 어떻게 평가하는지를 반영합니다. 그러나 대응은 같습니다. 수정된 릴리스로 업데이트하십시오.
대응 방법
코어를 6.8.6 / 6.9.5 / 7.0.2 이상으로 업데이트(최우선)
침해 여부 점검(업데이트 전에 이미 공격을 받았다고 가정)
업데이트 전까지의 임시 방어(심층 방어)
코어, 플러그인, 테마의 CVE를 기계적으로 모니터링
이 사이트의 견해: 모든 입력을 신뢰하지 않는 전제로 설계하십시오
이 결함의 본질은 신뢰할 수 없는 입력이 예상치 못한 경로(라우트 혼동)를 통해 쿼리에 도달한다는 것입니다. SQL 인젝션은 경로나 가정된 전제 조건과 관계없이 항상 플레이스홀더(준비된 구문)를 사용하고 항상 입력을 정제·검증함으로써 설계 단계에서 제거할 수 있습니다. 업데이트는 반드시 해야 하지만, 장기적으로 효과를 내는 것은 "입력을 신뢰하지 않는" 설계와 코어/플러그인 CVE를 기계적으로 모니터링하고 빠르게 업데이트하는 일상적인 절차입니다.
다음으로 읽을거리
- 용어집: SQL 인젝션이란 / RCE(원격 코드 실행)란 / CVE란
- 실무: CVE 대응 플레이북(기계적 모니터링과 신속한 업데이트)
- 전체 경보: 취약점 경보
출처 및 범위
아래 1차 자료는 위에서 논의한 설정, 범위 또는 대응 방법을 뒷받침합니다. 링크는 2026년 10월 23일에 확인했습니다. 각 자료의 버전 및 설정 조건을 참고하십시오. 점검 항목의 우선순위와 교훈은 이 사이트의 안내이며, 전체 기사에 대한 재검증이나 안전 보장이 아닙니다.