리투인소프트웨어
← 보안 이슈 목록

보안 이슈

워드프레스 취약점 실제 악용, KISA 권고와 7.1.4 업데이트 방법

최종 수정일: 2026년 11월 5일

핵심 요약

무슨 일
코어 업데이트 과정의 원격코드실행 취약점(CVE-2026-119977)이 실제 공격에 쓰였고, KISA는 CISA 등재 다음 날 업데이트를 권고했습니다.
영향 대상
WordPress 4.7~7.1.3을 쓰는 모든 사이트입니다.
지금 할 일
7.1.4(또는 계열별 수정 버전)로 업데이트하고 설치 완료를 확인합니다.

워드프레스 취약점 CVE-2026-119977은 코어 업데이트가 진행되는 동안 인증 없이 서버에서 코드가 실행될 수 있는 문제입니다. CISA(미국 사이버보안·인프라보안청)가 2026년 11월 3일(미국 기준) 이를 KEV(실제 악용이 확인된 취약점 목록)에 등재하고, 다음 날 KISA(한국인터넷진흥원)가 업데이트를 권고했습니다. 워드프레스 사이트를 운영한다면 오늘 버전부터 확인하세요.

워드프레스 취약점, 무슨 일이 있었나

WordPress(워드프레스)는 2026년 10월 28일(현지 시간) 보안 릴리스 7.1.4를 배포했습니다. 수정된 문제는 '업그레이드 진행 중 원격코드실행으로 이어질 수 있는 업그레이드 과정의 약점'입니다(WordPress.org News). 같은 릴리스의 버전 문서는 이를 보안 수정 22건 중 하나인 경쟁 조건(race condition) 문제로 적었습니다.

날짜 내용
10월 28일(현지 시간) WordPress 7.1.4 보안 릴리스
10월 31일 14:33(한국 시간) Wordfence(워드프레스 보안 업체)가 CVE 기록 공개. 같은 날 국내 보도(데일리시큐)
11월 3일(미국 기준) CISA KEV 등재, 미국 연방기관 조치 기한 11월 6일(미국 기준)
11월 4일(한국 시간) KISA 보호나라 「WordPress 제품 보안 업데이트 권고」

CISA는 랜섬웨어 악용 여부를 'Unknown(알 수 없음)'으로 등록하고, 연방기관에 제조사 지침에 따른 조치를 요구했습니다. BleepingComputer는 CISA가 CVE-2026-119977의 실제 악용을 확인했다고 전했습니다.

공격 시도는 보도마다 13,095건~6만여 건(24시간, 집계 시점 다름)입니다. BleepingComputer는 13,095건, 데일리시큐는 6만2,969건, 디지털투데이는 6만471건을 전했습니다. 모두 매체가 Wordfence 집계로 전한 차단 시도 건수(Wordfence 원문 미확인)이며, 실제 침해된 사이트 수는 확인되지 않았습니다.

왜 주목해야 하나: 업데이트하는 순간이 위험 구간

이번 취약점은 보안 조치인 업데이트 과정 자체에서 위험 구간이 열린다는 점이 다릅니다. CVE 기록에 따르면 전체 패키지 방식 코어 업데이트에 쓰는 임시 경로가 예측 가능하고 웹에서 접근할 수 있기 때문에 인증되지 않은 공격자가 업그레이드 창(업데이트가 진행되는 시간) 동안 서버에서 코드를 실행할 수 있습니다.

구분 내용
영향 제품/대상 WordPress Core 4.7~7.1.3
취약점/수법 코어 업데이트 중 경쟁 조건(TOCTOU, 확인 시점과 사용 시점 사이의 틈을 노리는 문제, CWE-367)에 따른 원격코드실행
심각도 CVSS 3.1 8.1점 HIGH(CVE.org, CNA Wordfence 기준). WordPress 자체 권고(GHSA, 10-29)는 'Low'. 공격 조건은 까다롭지만(AC:H) 권한·사용자 행동 없이 원격 공격 가능
패치/대응 현황 계열별 수정 버전 공개, CISA KEV 등재, KISA 권고

심각도 평가는 갈리지만 실제 악용이 확인됐고, WordPress.org·CISA·KISA 모두 업데이트를 권고합니다. 국내 권고는 패치 7일 뒤에 나왔으니 WordPress.org 보안 릴리스를 직접 확인하고 바로 업데이트하세요.

누가 영향을 받나: 워드프레스 버전별 수정 버전

WordPress 4.7부터 7.1.3까지 쓰는 사이트가 모두 대상입니다.

사용 계열 이 버전 이상으로 업데이트
7.1 (7.1.0~7.1.3) 7.1.4
7.0 (7.0.0~7.0.7) 7.0.8
6.9 6.9.11
6.8 6.8.12
6.7 6.7.11
4.6 이하 보안 업데이트 중단

출처: WordPress.org 버전 문서, KISA

그 밖의 계열: 6.6.11 / 6.5.14 / 6.4.14 / 6.3.14 / 6.2.15 / 6.1.16 / 6.0.18 / 5.9.20 / 5.8.19 / 5.7.21 / 5.6.23 / 5.5.24 / 5.4.25 / 5.3.27 / 5.2.30 / 5.1.28 / 5.0.31 / 4.9.35 / 4.8.34 / 4.7.39 (WordPress.org 버전 문서, KISA)

W3Techs 통계(2026년 11월 5일 기준)로는 전체 웹사이트의 39.5%가 워드프레스를 쓰고, 워드프레스 사이트의 2.0%가 4.x, 0.2%가 3.x 버전입니다. 4.x에는 이번에 패치가 나온 4.7~4.9와 지원이 끝난 4.6 이하가 함께 들어 있습니다. 국내 사용 비율과 피해 사례는 확인되지 않았습니다.

워드프레스 취약점 대응: 지금 해야 할 일

  1. 오늘: 관리자 화면의 알림판 > 업데이트(Dashboard > Updates) 메뉴에서 남은 업데이트를 확인하고 바로 적용합니다(WordPress.org 안내). 적용 뒤에는 설치된 버전이 위 표의 수정 버전 이상인지 확인합니다.
  2. 이번 주: 대표 홈페이지 외에 캠페인·채용·이벤트용 워드프레스 사이트까지 목록으로 만들어 워드프레스 버전을 확인합니다. 자동 백그라운드 업데이트를 지원하는 사이트는 업데이트가 자동으로 시작되지만(WordPress.org), 디지털투데이는 "자동 업데이트가 켜져 있어도 설치 완료 여부를 직접 확인해야 한다."고 덧붙였습니다.
  3. 중장기: WordPress.org는 최신 버전만 적극 지원합니다. 4.6 이하 사이트는 정리하거나 최신 계열로 옮깁니다.

공식 권고에는 없지만, 데일리시큐는 업데이트용 임시 디렉터리의 외부 접근 여부와 웹서버 접근 기록의 이상 흔적 점검도 권했습니다.

하지 말아야 할 것: 자동 업데이트만 믿고 설치 확인을 건너뛰지 마세요. 공격 시도 건수를 침해된 사이트 수로 오해하지 마세요.

자주 묻는 질문

Q. 워드프레스 취약점 CVE-2026-119977의 영향 버전은?

WordPress 4.7부터 7.1.3까지입니다(CVE.org, KISA). 7.1 계열은 7.1.4, 7.0 계열은 7.0.8 이상으로 올리면 됩니다.

Q. 워드프레스 자동 업데이트를 켜 두었으면 괜찮나요?

자동 백그라운드 업데이트를 지원하는 사이트는 업데이트가 자동으로 시작됩니다(WordPress.org). 다만 설치가 끝났는지, 버전이 위 표의 수정 버전 이상인지는 직접 확인하는 것이 안전합니다.

Q. 이미 공격받았는지 어떻게 확인하나요?

WordPress.org와 KISA 권고는 업데이트만 안내하고 침해 점검 절차는 따로 제시하지 않았습니다. 업데이트가 늦었다면 전문 보안 업체의 점검을 받아 보세요.

마치며

이번 워드프레스 취약점은 실제 악용이 확인됐고 수정 버전도 나와 있습니다. 운영 중인 모든 사이트를 수정 버전으로 올리고 설치를 확인하세요. 다른 보안 이슈는 리투인 보안센터에서 확인하실 수 있습니다.

웹사이트 패치와 별개로, 기업 메일로 들어오는 피싱·사칭·송금 사기 메일 대응이 고민이라면 메일의 행간을 읽고 판단하는 메일 보안 인공지능 MAIL PRISM AI를 살펴보세요.

참고 출처

링크도 첨부도 없는 사기 메일, 막을 근거가 없을 때

MAIL PRISM AI 는 글 뒤에 숨은 의도, 행간을 읽고 판단합니다.

MAIL PRISM AI 보기