2026-11-02
WordPress 7.1.4 취약점 CVE-2026-119977: 원격 코드 실행으로 이어질 수 있는 코어 업데이트 경쟁 상태 수정, 버전과 자동 업데이트 확인
2026년 10월 28일 WordPress 프로젝트는 원격 코드 실행으로 이어질 수 있는 코어 업데이트 과정의 결함을 수정한 보안 릴리스 7.1.4를 공개했습니다. WordPress의 GitHub 권고문에 따르면, 전체 패키지를 사용하는 코어 업데이트 중 WordPress는 웹으로 제공되는 업그레이드 폴더 안의 예측 가능한 디렉터리에 새 파일을 풀었고, 그 압축 해제와의 경쟁에서 이긴 인증 없는 공격자가 원격 코드 실행(RCE)에 도달할 수 있었습니다. 수정은 7.1.4에 포함되며 4.7까지의 모든 브랜치(7.0.8, 6.9.11, 6.8.12 등)로 백포트되었습니다. CVE-2026-119977은 10월 31일 CNA인 Wordfence가 공개했으며 CVSS v3.1 8.1(High), 공격 복잡도 High로 평가되었습니다. WordPress의 권고문은 심각도를 Low로 보며 점수는 제시하지 않았습니다. SecurityWeek에 따르면 한 WordPress 보안 업체는 방화벽 규칙을 배포한 지 9분 만에 첫 일치를 확인했고, 처음 21시간 동안 임시 업데이트 위치를 노린 요청을 18,500건 넘게 기록했으며, 침해 성공은 보고하지 않았습니다. 이 사이트는 11월 2일 CISA의 Known Exploited Vulnerabilities(KEV) 카탈로그를 확인했고 이 CVE는 등재되어 있지 않았습니다. 자동 백그라운드 업데이트가 켜진 사이트는 스스로 업데이트되며, 자동 업데이트를 끈 사이트는 업데이트 화면에서 직접 업데이트해야 합니다. 이 사이트의 결론: 버전을 확인하고, 자동 업데이트가 작동하지 않는다면 오늘 직접 업데이트하십시오.