기술 지원
문서
로그인
문의하기
TuxCare 블로그
- 신뢰할 수 없는 사람에게 웹사이트의 제어권을 넘긴다고 상상해 보세요. 이것이 바로 워드프레스의 RCE 취약점 위험입니다.
- 공격자는 웹사이트 콘텐츠를 수정하고, 스팸성 콘텐츠를 삽입하고, 멀웨어를 유포하여 사이트 방문자를 감염시킬 수 있습니다.
- 오류를 방지하려면 업그레이드하기 전에 모든 플러그인과 테마가 새 PHP 버전과 호환되는지 확인하는 것이 중요합니다.
워드프레스는 인터넷의 40% 이상을 차지하는 인기 있는 콘텐츠 관리 시스템(CMS)입니다. 유연성과 광범위한 플러그인 생태계로 유명합니다. 하지만 이러한 플러그인은 기능을 추가하는 동시에 보안 취약성을 초래할 수 있습니다. 이러한 취약점은 코딩 오류, 오래된 라이브러리 또는 적절한 유지 관리 부족으로 인해 발생할 수 있습니다. 안전한 워드프레스 사이트를 유지하려면 워드프레스 플러그인 취약점과 관련 위험, 플러그인 업그레이드의 과제를 이해하는 것이 중요합니다.
이 글에서는 공격자가 웹사이트에 원격으로 악성 코드를 삽입하고 실행할 수 있도록 하는 워드프레스 플러그인의 원격 코드 실행(RCE) 취약점에 대해 살펴봅니다.
워드프레스의 RCE 취약점으로 인한 보안 위험
웹사이트 인수를 완료합니다: 원격 코드 실행 공격자는 서버에서 모든 명령을 실행하여 잠재적으로 웹사이트를 완전히 제어할 수 있습니다. 즉, 콘텐츠를 변경하거나 멀웨어를 설치하거나 방문자를 악성 사이트로 리디렉션하거나 심지어 웹사이트에 대한 제어권을 잃을 수도 있습니다.
데이터 도난: 공격자는 고객 데이터, 로그인 자격 증명, 재무 기록 등 웹사이트에 저장된 민감한 정보에 액세스하여 이를 탈취할 수 있습니다.
웹사이트 훼손: 공격자는 서버를 제어하여 웹사이트 콘텐츠를 수정하고 자신만의 메시지를 표시할 수 있습니다.
SEO 스팸: 해커는 종종 스팸성 콘텐츠와 링크를 취약한 웹사이트에 삽입하여 사이트의 검색 엔진 순위와 신뢰도를 떨어뜨립니다.
멀웨어 배포: 손상된 웹사이트는 멀웨어를 유포하여 사이트 방문자를 감염시키는 데에도 사용됩니다.
인기 워드프레스 플러그인의 치명적인 RCE 취약점
백업 마이그레이션 RCE 결함
심각한 취약점(CVE-2023-6553)이 80,000개 이상 설치되어 있는 백업 마이그레이션이라는 인기 있는 워드프레스 백업 플러그인에서 발견되었습니다. 이 취약점을 익스플로잇하면 공격자가 웹사이트를 완전히 제어할 수 있습니다. 1.3.7까지의 모든 버전의 플러그인이 취약합니다. 이 문제를 해결하는 업데이트(버전 1.3.8)가 릴리스되었으므로 백업 마이그레이션 사용자는 즉시 최신 버전으로 업데이트하는 것이 좋습니다.
브릭스 빌더 RCE 결함
중요한 취약점(CVE-2024-25600) 해커가 웹사이트를 완전히 제어할 수 있게 해주는 인기 페이지 빌더 플러그인(활성 설치 수 약 25,000개)인 브릭스 빌더에 심각한 취약점이 발견되었습니다. 이 취약점은 2024년 2월에 발견되었으며 얼마 지나지 않아 수정 버전(1.9.6.1)이 릴리스되었습니다. 아직 공격이 확인되지는 않았지만 사용자들은 해킹을 당하지 않도록 즉시 최신 버전(1.9.6.1)으로 업데이트할 것을 강력히 권장합니다.
워드프레스의 PHP 에브리웨어 취약점
PHP Everywhere는 사용자가 워드프레스 웹사이트의 사이드바, 페이지, 글에 사용자 정의 PHP 코드를 삽입할 수 있는 인기 플러그인입니다. 이 플러그인은 20,000개 이상의 웹사이트에서 사용되며 다음과 같은 취약점이 발견되었습니다. 세 가지 원격 코드 실행 취약점 세 가지 원격 코드 실행 취약점이 발견되었습니다.
가장 심각한 취약점(CVE-2022-24663)은 웹사이트에 등록할 수 있는 모든 사용자(구독자)가 악성 코드를 삽입하여 잠재적으로 웹사이트 전체를 장악할 수 있게 합니다.
다른 두 가지 취약점(CVE-2022-24664 와 CVE-2022-24665)는 더 많은 액세스 권한(기여자 수준)이 필요하지만 여전히 위험할 수 있습니다.
이러한 취약점은 2022년 1월에 출시된 플러그인 3.0.0 버전에서 패치되었습니다. 하지만 아직 업데이트하지 않은 사용자가 많아 여전히 위험에 노출되어 있습니다. PHP Everywhere를 사용하는 경우 즉시 버전 3.0.0으로 업데이트하세요. 또한 버전 3.0.0에서는 클래식 편집기에 대한 지원이 제거되었으므로 사이트에서 클래식 편집기를 사용하는 경우 대체 솔루션을 찾아야 합니다.
하지만 걱정할 만한 큰 이유는 이 플러그인이 작성자의 요청에 따라 워드프레스에서 영구적으로 제거되었다는 점입니다. 하지만 이 플러그인이 설치된 워드프레스 사이트에서는 여전히 이 플러그인을 사용할 수 있습니다. 하지만 보안 수정을 포함한 추가 업데이트가 제공되지 않으므로 다른 유사한 플러그인을 찾는 것이 좋습니다.
워드프레스에서 RCE 취약점 완화하기
정기 업데이트: 알려진 취약점을 수정하기 위해 모든 플러그인, 테마, 워드프레스 코어를 항상 최신 버전으로 업데이트하세요.
안전한 파일 업로드: 파일 유형 유효성 검사, 권한이 제한된 전용 디렉터리 사용 등 파일 업로드에 안전한 방법을 사용합니다.
웹 애플리케이션 방화벽(WAF): WAF를 적용하여 악성 요청이 워드프레스 애플리케이션에 도달하기 전에 필터링하고 차단합니다.
보안 플러그인: 멀웨어 검사, 방화벽 보호, 실시간 모니터링 등의 기능을 제공하는 보안 플러그인을 구현하세요. 워드펜스, 수쿠리, 젯팩과 같은 서비스는 사이트를 모니터링하고 보호하는 데 도움이 될 수 있습니다.
최소 권한 원칙: 최소 권한 원칙을 구현하여 사용자에게 기능에 필요한 최소한의 권한만 부여하여 익스플로잇으로 인한 잠재적 피해를 제한하세요.
또한 다음과 같은 모범 보안 사례를 따를 수 있습니다:
플러그인 사용 제한: 플러그인 수를 최소화하여 잠재적인 공격 경로를 줄입니다. 사용하지 않는 플러그인은 모두 비활성화하고 삭제하세요.
정기적으로 백업하세요: 웹사이트의 정기적인 백업을 유지하여 공격이 성공할 경우 기능을 신속하게 복원하세요.
업그레이드 문제 및 과제
플러그인 업데이트는 워드프레스 사이트의 취약점을 수정하지만 다른 플러그인, 테마 또는 워드프레스 코어와의 호환성 문제를 일으켜 사이트 오작동이나 충돌을 일으킬 수 있습니다. 또 다른 이유는 플러그인이 서버에서 사용하는 PHP 버전에 대한 지원을 중단하는 경우일 수 있습니다. PHP가 발전함에 따라 최신 버전에는 개선 사항이 제공되고 이전 버전은 더 이상 유지 관리되지 않습니다. 최신 PHP 버전, 플러그인, 테마, 워드프레스 자체를 최신 상태로 유지하려면 지속적으로 업데이트를 릴리스하고 오래된 PHP 버전에 대한 지원을 점차 중단하세요.
예를 들어, PHP 7.4는 더 이상 지원되지 않음 2022년 11월 28일 이후 PHP 개발팀에서 더 이상 지원하지 않습니다. PHP 7.4 서버에서 실행되는 모든 워드프레스 웹사이트는 보안 업데이트 부족으로 인해 매우 취약합니다. 워드프레스는 여전히 PHP 7.4를 지원하지만 "PHP 업데이트 필요" 경고가 표시되며 웹사이트 보안을 유지하기 위해 워드프레스에서 PHP를 업그레이드할 것을 권장합니다. 현재 지원되는 PHP 버전은 PHP 8.1, 8.2, 8.3이며, 워드프레스에는 이미 이 모든 버전에 대한 베타 지원이 포함되어 있습니다.
하지만 워드프레스 PHP 버전을 8.x로 업그레이드했는데 플러그인과 테마가 PHP 8.x를 지원하지 않는 경우 사이트 오작동이나 충돌을 일으킬 수 있는 호환성 문제가 발생할 수 있습니다. 이러한 문제는 오류 메시지, 기능 손상 또는 완전히 액세스할 수 없는 웹사이트로 나타날 수 있습니다.
이러한 문제를 방지하려면 업그레이드하기 전에 모든 플러그인과 테마가 PHP 8.x와 호환되는지 확인하는 것이 중요합니다. 개발자의 업데이트를 확인하거나 스테이징 환경에서 새 PHP 버전을 먼저 테스트하는 방법으로 이를 수행할 수 있습니다. 일부 플러그인 개발자는 프로젝트를 포기하여 향후 업데이트가 없는 취약한 상태로 남겨둘 수 있습니다.
워드프레스에서 오래된 PHP 보안
테마 및 플러그인이 PHP 8.x 버전을 지원하지 않는 경우 다음을 활용할 수 있습니다. TuxCare의 PHP용 확장 수명 주기 지원(ELS) 를 활용하여 웹사이트 보안을 유지할 수 있습니다. PHP용 ELS는 더 이상 공식적으로 지원되지 않는 이전 PHP 버전에 대한 보안 패치를 제공합니다. 이를 통해 회원님과 테마 및 플러그인 개발자가 PHP 8.x와의 호환성을 위해 코드를 업데이트할 수 있는 충분한 시간을 확보하면서 워드프레스에서 기존 PHP를 안전하게 계속 사용할 수 있습니다.
최종 생각
공격자는 워드프레스의 테마 및 플러그인 취약점을 악용하여 웹사이트에 무단으로 액세스하거나 데이터를 훔치거나 악성 코드를 삽입할 수 있습니다. 보안을 위해 업데이트를 유지하는 것이 중요하지만 항상 순조로운 것은 아닙니다. 업데이트로 인해 웹사이트의 기능이 중단되는 버그가 발생하여 문제 해결 및 호환성 확인이 필요할 수 있습니다.
이전 버전의 PHP에서 PHP 8.x로 업그레이드하려면 대량의 코드를 다시 작성해야 하는 경우가 많습니다. 이 과정은 복잡하고 시간이 많이 소요될 수 있습니다. TuxCare의 PHP 확장 수명 주기 지원(ELS) 를 사용하면 보안 위험에 대한 걱정 없이 이전 PHP 버전을 더 오래 사용할 수 있고 기존 PHP 코드와 기능을 유지할 수 있습니다.
보안 전문가에게 질문 보내기 TuxCare 보안 전문가 에 질문하여 TuxCare의 PHP ELS를 시작하는 방법을 알아보세요.
