WordPress 7.0.2 긴급 배포…SQL 주입·원격 코드 실행 취약점 수정

WordPress 공식 보안 공지에 따르면 핵심 소프트웨어의 치명적 취약점 1건과 고위험 취약점 1건을 수정한 7.0.2 버전이 17일 배포됐다. WordPress.org 보안팀은 취약점의 심각성을 고려해 영향받는 버전에 자동 업데이트를 강제로 적용했으며, 사이트 운영자에게 즉시 업데이트하라고 권고했다.

이번 릴리스가 다룬 첫 번째 문제는 WP_Query의 author__not_in 매개변수에서 발생하는 SQL 주입 취약점이다. CVE-2026-60137로 등록됐으며 WordPress 6.8 이상이 영향을 받는다. GitHub 보안 권고는 이 취약점의 단독 심각도를 중간으로 분류했지만, 6.9 이상에서 다른 REST API 취약점과 결합하면 영향이 커진다고 설명한다.

두 번째 문제는 REST API의 배치 경로 처리 혼동과 관련된 CVE-2026-63030이다. WordPress 6.9 이상에서 앞선 SQL 주입 취약점과 결합될 경우 원격 코드 실행으로 이어질 수 있다. WordPress 프로젝트의 GitHub 보안 권고는 이 문제를 치명적으로 분류했다. 다만 공개 공지에는 실제 악용 사례나 공격에 필요한 구체적 조건이 제시되지 않았다.

영향 범위는 버전에 따라 다르다. WordPress 7.0.0과 7.0.1, 6.9.0부터 6.9.4까지는 두 취약점의 영향을 모두 받는다. 6.8.0부터 6.8.5까지는 SQL 주입 취약점만 영향을 받는다. 수정 버전은 각각 7.0.2, 6.9.5, 6.8.6이며, 개발 중인 7.1 계열에는 7.1 베타2가 제공됐다. 6.8 이전 버전은 이번 두 취약점의 영향 대상이 아니라고 WordPress는 밝혔다.

자동 백그라운드 업데이트를 지원하는 사이트는 업데이트 절차가 자동으로 시작된다. 운영자는 관리자 화면의 ‘업데이트’ 메뉴에서 설치 상태를 확인하고, 자동 업데이트가 비활성화됐거나 실패한 환경에서는 해당 유지보수 버전으로 직접 올려야 한다. 코어 파일을 수정했거나 배포 절차가 별도로 관리되는 사이트는 백업과 호환성 검증을 거친 뒤 지체 없이 적용할 필요가 있다.

이번 조치는 WordPress.org가 강제 자동 업데이트를 활성화할 정도로 위험을 높게 평가했다는 점에서 주목된다. 특히 6.9 이상에서는 REST API 처리 문제와 SQL 주입이 결합돼 서버에서 공격자가 의도한 코드를 실행할 가능성이 제시됐다. 웹사이트 운영자는 버전 번호만 확인하는 데 그치지 말고 업데이트 완료 여부와 이후 관리자 계정, 파일 변경, 비정상 REST API 요청 기록도 점검해야 한다.

출처: WordPress 공식 보안 공지 https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
출처: WordPress GitHub 보안 권고 CVE-2026-60137 https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-fpp7-x2x2-2mjf
출처: WordPress GitHub 보안 권고 CVE-2026-63030 https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662q