대상 독자: WordPress 사이트를 운영하는 사람(자체 관리 서버, VPS, 공유 호스팅, 관리형 WordPress 호스팅)과 사이트 업데이트를 에이전시나 업체에 맡기는 사람. 이 글은 WordPress 프로젝트의 발표문과 권고문, CVE 기록, 언론 보도를 바탕으로 작성되었습니다. 공격 방법은 다루지 않습니다.
진행 중: 새로운 내용이 발표되면 이 페이지를 업데이트합니다
- 대상
WordPress 사이트를 운영하는 사람(자체 관리 서버, VPS, 공유 호스팅, 관리형 WordPress 호스팅)과 사이트 업데이트를 에이전시나 업체에 맡기는 사람.
- 확인된 영향 범위표 보기 ↓
- 결함
- 영향받는 버전
- 수정 버전
2개 더 보기
- 심각도
- CVE 번호
- 아직 확인되지 않은 사항
- CISA가 이 CVE를 Known Exploited Vulnerabilities 카탈로그에 추가하는지(11월 2일 기준 미등재)
- 침해 또는 악용 성공이 확인되는지(보안 업체는 보고하지 않았음)
- NVD 자체 평가(상태: Received)
1개 더 보기
- 이전 브랜치의 수정 버전을 프로젝트가 언제 발표하는지(발표문에 따르면 준비되는 대로 출시)
- 지금 할 일절차 보기 ↓
- WordPress 버전을 확인하십시오
- 자동 업데이트가 작동하는지 확인하십시오
- 백업한 뒤 직접 업데이트하십시오
3개 더 보기
- 업데이트 후 버전과 사이트를 확인하십시오
- 다른 사람이 사이트를 관리한다면 물어보십시오
- 업데이트가 늦었다면 10월 28일 이후의 활동을 확인하십시오
- 마지막 확인
- 2026년 11월 2일(JST) 기준
후속 발표 예정과 확인 기록
WordPress의 보안 릴리스 7.1.4 발표문은 즉시 업데이트할 것을 권장하며, 자동 백그라운드 업데이트가 켜진 사이트는 스스로 업데이트를 시작한다고 밝힙니다. CVE는 10월 31일 공개되었습니다. 언론 보도는 이 결함을 노린 요청을 전하지만 침해 성공은 보고하지 않았습니다.
오늘 할 일
WordPress 버전을 확인하십시오
관리 화면의 대시보드 > 업데이트에서 현재 버전과 더 새로운 버전이 제공되는지 확인하십시오. 로그인할 수 없거나 여러 사이트를 관리한다면 WP-CLI가 설치된 서버에서 wp core version으로 확인할 수 있습니다. 수정 버전은 7.1.4(7.1 브랜치), 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14, 6.4.14입니다. 권고문에는 더 오래된 브랜치의 수정 버전도 기재되어 있습니다(아래 표 참조).
자동 업데이트가 작동하는지 확인하십시오
기본적으로 WordPress는 보안 수정 같은 소규모 업데이트를 스스로 적용합니다. 설정 파일의 설정, 플러그인, 호스팅 구성, 파일 권한 때문에 꺼질 수 있습니다. 관리 화면의 도구 > 사이트 상태에서 백그라운드 업데이트 관련 문제가 있는지 확인하십시오. 자동 업데이트가 꺼진 이유를 모른다면 이번에는 직접 업데이트하십시오.
백업한 뒤 직접 업데이트하십시오
파일과 데이터베이스를 서버 밖에 백업하십시오(백업 및 복구의 기본). 그런 다음 업데이트 화면에서 지금 업데이트를 누르십시오. 진행 중에는 브라우저를 닫거나 다른 업데이트를 시작하지 마십시오.
업데이트 후 버전과 사이트를 확인하십시오
업데이트 화면에 최신 버전이 표시되는지, 홈페이지, 로그인, 문의 양식이 작동하는지 확인하십시오. 7.1.4에는 저장형 XSS 수정도 여러 건 포함되어 있으니 플러그인과 테마의 경고도 살펴보십시오.
다른 사람이 사이트를 관리한다면 물어보십시오
에이전시, 파트너, 공유 호스팅, 관리형 호스팅이 운영하는 사이트라면 누가 언제 WordPress 코어를 업데이트하는지 오늘 물어보십시오. 관리 화면에서 버전을 직접 확인하는 것도 잊지 마십시오.
업데이트가 늦었다면 10월 28일 이후의 활동을 확인하십시오
10월 28일 이후 알 수 없는 요청, 직접 올리지 않은 파일, 추가한 적 없는 관리자 계정이 있는지 살펴보십시오. 확인 방법은 웹사이트나 서버가 침해되었는지 확인하는 방법에 있습니다.
자동 업데이트 켜짐
스스로 시작됩니다(발표문). 업데이트 화면에서 실제로 적용되었는지 확인
자동 업데이트 꺼짐 또는 실패
직접 업데이트합니다. 백업, 업데이트, 테스트
에이전시 또는 호스팅이 관리
누가 언제 업데이트하는지 묻고, 버전도 직접 확인
발표문과 권고문의 내용
WordPress 프로젝트는 2026년 10월 28일 wordpress.org에 수정 목록과 함께 「WordPress 7.1.4 Security Release」를 게시했습니다. 이 결함에 대한 설명은 10월 29일 공개된 GitHub 보안 권고문에 있습니다.
- 릴리스
- WordPress 7.1.4는 2026년 10월 28일 출시되었습니다. 발표문은 즉시 사이트를 업데이트할 것을 권장합니다
- 결함(권고문)
- 전체 패키지를 사용하는 코어 업데이트 중 WordPress는 웹으로 제공되는 업그레이드 폴더 안의 예측 가능한 디렉터리에 새 파일을 풀었습니다. 그 압축 해제와의 경쟁에서 이긴 인증 없는 공격자가 원격 코드 실행(RCE)에 도달할 수 있었습니다
- 발표문의 표현
- 업그레이드 중에 원격 코드 실행으로 이어질 수 있는 업그레이드 과정의 약점으로 기재되어 있습니다. 발표문 페이지에는 심각도, CVE 번호, 영향받는 버전 목록이 없습니다
- 수정
- 7.1.4에서 수정되었습니다. 권고문에 따르면 이전 브랜치 사용자를 배려해 4.7까지의 모든 브랜치로 백포트되었습니다. 발표문은 백포트가 준비되는 대로 출시된다고 밝힙니다
- 심각도(WordPress)
- 권고문은 Low로 평가하며 점수는 제시하지 않았습니다
- 자동 업데이트
- 발표문에 따르면 자동 백그라운드 업데이트가 켜진 사이트는 업데이트 과정이 자동으로 시작됩니다
- 지원
- 발표문은 WordPress의 가장 최신 버전만 적극적으로 지원된다고 밝힙니다
- 릴리스의 다른 수정
- 여러 건의 저장형 XSS, 인증 없는 사용자가 발견할 수 있는 게시되지 않은 사용자 정의 화면(Customizer) 변경 세트 등(발표문의 목록)
- CVE
- CVE-2026-119977, 보안 업체 Wordfence가 CNA로서 공개했습니다. NVD의 상태는 Received이며 NVD 자체 평가는 추가되지 않았습니다
- 설명
- WordPress 코어 4.7부터 7.1.3: 전체 패키지 코어 업그레이드 중 사용되는 예측 가능하고 웹에서 접근 가능한 스테이징 경로 때문에, 인증 없는 공격자가 업그레이드 시간대에 서버에서 코드를 실행할 수 있습니다
- 심각도(CVE)
- CVSS v3.1 8.1(High): 네트워크, 권한 불필요, 사용자 상호작용 불필요, 공격 복잡도 High. 약점 유형은 CWE-367(검사 시점과 사용 시점의 경쟁 상태)
- 평가의 불일치
- WordPress의 권고문은 Low, CVE 기록은 High입니다. 평가자가 다르므로 어느 한쪽이 단순히 틀린 것은 아닙니다. 이 사이트의 견해는, 수정이 제공된 만큼 악용하기 어려운 결함이라도 업데이트가 올바른 우선순위라는 것입니다
수정 버전(권고문 기준)
| 브랜치 | 영향받는 버전 | 수정 버전 |
|---|---|---|
| 7.1 | 7.1.0–7.1.3 | 7.1.4 |
| 7.0 | 7.0.0–7.0.7 | 7.0.8 |
| 6.9 | 6.9.0–6.9.10 | 6.9.11 |
| 6.8 | 6.8.0–6.8.11 | 6.8.12 |
| 6.7 | 6.7.0–6.7.10 | 6.7.11 |
| 6.6 | 6.6.0–6.6.10 | 6.6.11 |
| 6.5 | 6.5.0–6.5.13 | 6.5.14 |
| 6.4 | 6.4.0–6.4.13 | 6.4.14 |
| 6.3 | 6.3.0–6.3.13 | 6.3.14 |
| 6.2 | 6.2.0–6.2.14 | 6.2.15 |
| 6.1 | 6.1.0–6.1.15 | 6.1.16 |
| 6.0 | 6.0.0–6.0.17 | 6.0.18 |
| 5.9–5.0 | 각 브랜치의 마지막 릴리스까지 | 5.9.20, 5.8.19, 5.7.21, 5.6.23, 5.5.24, 5.4.25, 5.3.27, 5.2.30, 5.1.28, 5.0.31 |
| 4.9–4.7 | 각 브랜치의 마지막 릴리스까지 | 4.9.35, 4.8.34, 4.7.39 |
권고문에는 4.6 이하의 수정 버전이 기재되어 있지 않습니다. 오래된 브랜치는 스스로 업데이트되지 않는 경우가 있으므로, 아직 사용 중이라면 직접 업데이트하거나 지원되는 릴리스로 옮길 계획을 세우십시오.
악용 상황(언론 보도 기준)
이 내용은 한 보안 업체의 보고를 언론이 전한 것입니다. WordPress 프로젝트의 발표문에는 악용에 대한 언급이 없습니다.
- 관측한 곳
- 한 WordPress 보안 업체. SecurityWeek(10월 30일)에 따르면 이 업체는 패치가 배포된 지 몇 시간 안에 악용이 시작되었다고 밝혔습니다
- 수치
- 업체의 새 방화벽 규칙은 배포 9분 만에 첫 일치가 있었고, 처음 21시간 동안 임시 업데이트 위치를 노린 요청을 18,500건 넘게 기록했습니다
- 침해 성공
- 업체는 보고하지 않았습니다
- 공격에 필요한 조건(언론)
- WordPress가 전체 코어 업데이트를 푸는 동안의 아주 좁은 시간대. 보도에 따르면 공격자는 이를 잡기 위해 취약한 경로를 반복해서 확인하고 있습니다
- KEV
- 이 사이트가 2026년 11월 2일 CISA의 KEV 카탈로그를 확인했을 때(카탈로그 최종 업데이트 10월 30일) CVE-2026-119977은 등재되어 있지 않았습니다
이 사이트의 견해: KEV에 없다고 해서 안전하다는 뜻은 아닙니다. 관측된 것은 탐색으로 보이는 요청의 수이며 침해 성공은 보고되지 않았지만, 수정이 나온 지 며칠밖에 지나지 않았고 상황이 바뀔 수 있습니다. 가장 뒤처지기 쉬운 것은 자동 업데이트가 꺼진 사이트입니다.
알려진 것과 알려지지 않은 것
| 항목 | 공개된 내용 | 상태 |
|---|---|---|
| 결함 | 전체 패키지 코어 업데이트 중의 경쟁 상태로 인증 없는 RCE로 이어질 수 있음, 7.1.4에서 수정(WordPress 권고문) | 확인됨(WordPress) |
| 영향받는 버전 | 4.7–7.1.3(CVE 기록, 권고문) | 확인됨(WordPress, CVE 기록) |
| 수정 버전 | 7.1.4와 4.7까지의 모든 브랜치 수정(권고문) | 확인됨(WordPress) |
| 심각도 | WordPress: Low(점수 없음). CVE 기록: CVSS v3.1 8.1(High), 공격 복잡도 High | 확인됨(평가자에 따라 다름) |
| CVE 번호 | CVE-2026-119977, 10월 31일 공개, WordPress 발표문에는 없음 | 확인됨(CVE 기록) |
| 이 결함을 노린 요청 | 처음 21시간 동안 18,500건 넘음(보안 업체, 언론) | 보고됨(보안 업체) |
| 침해 성공 | 업체는 보고하지 않았음 | 보고 없음 |
| CISA KEV | 11월 2일 기준 미등재 | 미등재 |
| NVD 자체 평가 | 아직 추가되지 않음(상태: Received) | NVD 점수 없음 |
업데이트를 미뤄도 될까요?
권고문에 따르면 문제는 전체 패키지 코어 업데이트 중에 발생합니다. 공식 자료에는 그 조건이나, 업데이트하지 않은 사이트가 계속 공격받고 있는지에 대한 자세한 설명이 없습니다. 이 사이트는 그 공백을 추측으로 메우지 않습니다. 수정이 있으니 자신의 버전이 수정 버전인지 빨리 확인하십시오.
공유 호스팅이나 관리형 WordPress 호스팅을 사용한다면
요금제에 따라 WordPress 코어를 대신 업데이트해 주는 곳도 있고 사용자에게 맡기는 곳도 있습니다. 요금제와 계약에 따라 다르므로 관리 화면에서 버전을 확인하고 업체의 공지를 읽으십시오.
업체가 할 수 있는 일(요금제에 따라 다름)
- 코어의 자동 업데이트 또는 원클릭 업데이트 도구 제공
- 해당하는 경우 대응에 관한 공지 게시
사용자가 하는 일
- 업데이트 화면에서 자신의 버전이 수정 버전인지 확인
- 자동 업데이트가 꺼져 있지 않은지 확인하고, 꺼져 있다면 직접 업데이트
- 업체의 공지는 이메일 링크가 아니라 공식 사이트에서 확인
- 플러그인과 테마도 최신 상태로 유지
업데이트 중에는 사이트가 잠시 이용할 수 없을 수 있습니다. 파일 권한이나 디스크 공간 때문에 업데이트에 실패하는 서버도 있습니다. 그런 경우에는 백업에서 복원할 수 있는지 확인한 뒤 업체에 문의하십시오.
호스팅 업체를 사칭하는 가짜 이메일에 주의하십시오
취약점이 보도되면 호스팅이나 도메인 업체를 사칭한 이메일("즉시 업데이트하십시오", "계정이 정지됩니다")이 늘어납니다. 이메일의 링크로 로그인하지 말고, 직접 북마크한 공식 사이트에서 확인하십시오. 구별하는 방법은 피싱이란에 있습니다.
이 사이트의 견해: 문제는 업데이트 버튼이 아니라 멈춰 버린 업데이트입니다
이 결함은 사이트를 안전하게 유지하기 위한 바로 그 과정에 있었습니다. 수정이 나온 지금 남은 위험은 자동 업데이트가 꺼진 사이트, 업데이트 담당자가 없는 사이트, 오래된 브랜치에 남은 사이트에 있습니다. 우선순위를 정하는 방법은 취약점 우선순위 정하기(CVSS, EPSS, KEV), 공개 후 대응은 취약점 대응 플레이북을 참고하십시오.
타임라인
2026년 10월 28일
WordPress 프로젝트가 RCE로 이어질 수 있는 업데이트 과정의 결함, 여러 건의 저장형 XSS 등을 수정한 7.1.4를 출시합니다.10월 29일
WordPress가 GitHub 보안 권고문을 공개합니다. 전체 패키지 코어 업데이트 중의 경쟁 상태이며, 수정은 4.7까지의 모든 브랜치로 백포트되었습니다. CVE 항목에는 「No known CVE」라고 적혀 있습니다.10월 30일
한 WordPress 보안 업체가 방화벽 규칙 배포 9분 만에 첫 일치를 확인했고 처음 21시간 동안 18,500건 넘는 요청을 기록했다고 언론이 보도합니다. 침해 성공은 보고되지 않았습니다.10월 31일
Wordfence가 CNA로서 CVE-2026-119977을 공개합니다. CVSS v3.1 8.1(High). NVD 상태: Received.11월 2일
이 사이트가 발표문, 권고문, CVE 기록, KEV를 확인합니다. 이 CVE는 KEV에 등재되어 있지 않습니다.
출처 (공개 기록)
2026년 11월 2일 확인. 공식 발표를 먼저, 언론 보도를 그다음에 나열합니다.
- WordPress 프로젝트, 「WordPress 7.1.4 Security Release」(2026년 10월 28일) — wordpress.org
- WordPress GitHub 보안 권고문 GHSA-4w3m-c66w-69mg, 「A race condition during core updates that could lead to remote code execution」(2026년 10월 29일) — github.com
- CVE-2026-119977(2026년 10월 31일 Wordfence 공개) — cve.org / nvd.nist.gov
- CISA Known Exploited Vulnerabilities 카탈로그(11월 2일 이 CVE를 확인, 데이터 최종 업데이트 10월 30일) — cisa.gov / JSON
- 언론: SecurityWeek, 「Fresh WordPress Vulnerability in Attackers' Crosshairs」(2026년 10월 30일) — securityweek.com
업데이트 기록
2026-11-02: WordPress의 발표문과 권고문, CVE-2026-119977 기록, SecurityWeek 보도를 바탕으로 한 첫 버전입니다. 11월 2일 기준 이 CVE는 KEV에 등재되어 있지 않았습니다.
다음으로 읽을 글
- 사이트가 공격받았는지 확인: 웹사이트나 서버가 침해되었는지 확인하는 방법
- WordPress 강화: WordPress 보안
- 사전 준비: 백업 및 복구의 기본 / 보안 자산 목록 점검표
- 같은 달의 또 다른 심각한 수정: PHP의 심각한 취약점 두 가지와 긴급 수정 릴리스(2026년 10월) / 긴급 패치 후 사이트가 실제로 실행하는 PHP 확인하기
- 용어: RCE(원격 코드 실행)란 / CVSS란