RCE
이 태그가 달린 문서 5건
WordPress 7.1.4 취약점 CVE-2026-119977: 원격 코드 실행으로 이어질 수 있는 코어 업데이트 경쟁 상태 수정, 버전과 자동 업데이트 확인
2026년 10월 28일 WordPress 프로젝트는 원격 코드 실행으로 이어질 수 있는 코어 업데이트 과정의 결함을 수정한 보안 릴리스 7.1.4를 공개했습니다. WordPress의 GitHub 권고문에 따르면, 전체 패키지를 사용하는 코어 업데이트 중 WordPress는 웹으로 제공되는 업그레이드 폴더 안의 예측 가능한 디렉터리에 새 파일을 풀었고, 그 압축 해제와의 경쟁에서 이긴 인증 없는 공격자가 원격 코드 실행(RCE)에 도달할 수 있었습니다. 수정은 7.1.4에 포함되며 4.7까지의 모든 브랜치(7.0.8, 6.9.11, 6.8.12 등)로 백포트되었습니다. CVE-2026-119977은 10월 31일 CNA인 Wordfence가 공개했으며 CVSS v3.1 8.1(High), 공격 복잡도 High로 평가되었습니다. WordPress의 권고문은 심각도를 Low로 보며 점수는 제시하지 않았습니다. SecurityWeek에 따르면 한 WordPress 보안 업체는 방화벽 규칙을 배포한 지 9분 만에 첫 일치를 확인했고, 처음 21시간 동안 임시 업데이트 위치를 노린 요청을 18,500건 넘게 기록했으며, 침해 성공은 보고하지 않았습니다. CISA는 11월 3일 이 CVE를 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가했습니다(KEV 항목은 미국 연방 기관의 기한을 11월 6일로 정하고 있으며, CISA는 패치뿐 아니라 BOD 26-04에 따른 포렌식 선별 점검도 요구합니다). 자동 백그라운드 업데이트가 켜진 사이트는 스스로 업데이트되며, 자동 업데이트를 끈 사이트는 업데이트 화면에서 직접 업데이트해야 합니다. 이 사이트의 결론: 악용되고 있는 것으로 취급하고 오늘 업데이트하십시오. 업데이트가 늦었다면 침해 징후가 있는지 확인하십시오(이 사이트의 조언).
안전하지 않은 역직렬화: 외부 데이터가 객체 타입을 고르게 두는 위험과 막는 법
역직렬화의 위험은 나쁜 값이 들어오는 데 있지 않다. 일부 형식에서는 어떤 타입의 객체를 만들지 외부 데이터가 정한다는 데 있다. 그래서 피해는 데이터 손상에서 멈추지 않는다. OWASP는 서비스 거부, 접근 제어 우회, 원격 코드 실행을 든다. 방어는 두 가지다. 타입을 고르지 않는 순수 데이터 형식으로 바꾸고, 직렬화된 메시지에 서명해 서명 없는 것은 절대 복원하지 않는다. 그리고 어떤 장치는 설정으로 안전하게 만들 수 없으며, 유일한 해결은 쓰지 않는 것이다.
파일 업로드 취약점 — 웹 셸과 RCE를 설계로 막는 법
업로드 취약점의 문제는 '파일을 받는 것'이 아니라 어디에 두느냐, 그리고 실행될 수 있느냐다. 인증 없는 엔드포인트 + 형식 검증 없음 + 웹 루트 아래 저장 + 그곳에서 스크립트 실행 = 웹 셸 → RCE. 여러 겹으로 막는다. (1) 엔드포인트에 인증·권한 확인과 CSRF 대책, (2) 서버 측 허용 목록과 내용 검사, (3) 웹 루트 밖에 저장(또는 실행 금지), (4) 파일 이름 무작위화, 사용자 경로를 믿지 않기. 하나의 통제에 기대지 말고, 모든 단계에 공격을 멈출 수단을 둔다.
RCE(원격 코드 실행)란 — 왜 최악의 취약점 부류인가
RCE는 공격자가 당신의 서버에서 임의의 코드를 실행하게 합니다 — 곧장 장악으로 이어지는 최악의 부류입니다. 피해가 어디까지 퍼지는지는 실행 중인 프로세스의 권한으로 결정됩니다. 핵심 방어는 빠른 패치, CVE 모니터링, 최소 권한입니다.
AI가 작성한 코드에서 API 키가 유출돼 부정 과금에 쓰였다: 원인은 패치되지 않은 CVSS 10.0 취약점
요금 급증은 증상이었다. 원인은 패치되지 않은 공개 CVSS 10.0 RCE였다. 익명화한 사례를 방어 교훈으로 정리한다.