CVE-2026-60137 워드프레스 SQL 인젝션 취약점은 WPQuery 클래스의 authornotin 파라미터 입력값 검증이 누락되어 공격자가 임의의 SQL 쿼리를 실행하는 치명적인 보안 결함입니다. 공격자는 이 결함을 이용해 데이터베이스 내의 관리자 자격증명 해시, 사용자 개인정보, 설정 데이터 등 민감한 내부 정보를 탈취합니다.
취약점 개요 및 영향 범위
CVE-2026-60137은 워드프레스 코어 핵심 쿼리 처리 엔진인 WP_Query에서 발생합니다. 특정 파라미터가 필터링 없이 SQL 문에 직접 포함되는 구조적 결함입니다. 별도의 서드파티 플러그인이나 테마 없이 워드프레스 코어만으로도 익스플로잇 체인 구성이 가능해 매우 위험합니다. 취약점 공개 후 단 48시간 만에 실제 악용 사례가 확인되었고, 전 세계적으로 자동화된 스캐닝 봇 활동이 급증하며 공격 대상을 찾고 있습니다.
공유 네트워크 포털 데이터에 따르면 취약점 공개 당시 약 60%의 워드프레스 운영 조직이 취약한 버전의 인스턴스를 보유했습니다. 이 중 25%는 방화벽이나 보호 조치 없이 인터넷에 직접 노출되었습니다. HEXASTRIKE, Patchstack, Wiz, WatchTower, VulnCheck 등 다수의 글로벌 보안 업체가 실제 공격 사례를 교차 검증하며 심각성을 경고했습니다. 이 취약점은 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 워드프레스 코어 역사상 최초의 사전 인증 기반 원격 코드 실행(RCE) 연계 취약점으로 등재되어, 모든 관리자에게 즉각적인 패치가 강력히 권고됩니다.
| 영향을 받는 버전 범위 | 패치 완료 및 해결 버전 |
|---|---|
| 6.8.0 ~ 6.8.5 | 6.8.6 |
| 6.9.0 ~ 6.9.4 | 6.9.5 |
| 7.0.0 ~ 7.0.1 | 7.0.2 |
CVE-2026-60137 워드프레스 SQL 인젝션 취약점의 기술적 세부 분석
이 취약점의 핵심은 WPQuery 내의 authornotin 파라미터가 검증 없이 데이터베이스 쿼리에 삽입된다는 점입니다. 공격자는 REST 엔드포인트, 댓글 입력 필드, 혹은 특정 커스텀 플러그인 파라미터를 통해 악의적인 SQL 구문을 주입합니다. 워드프레스는 보통 입력값을 정제하지만, 해당 파라미터 처리 과정에서 필터링이 누락되어 공격자가 작성한 쿼리가 데이터베이스 엔진에서 그대로 실행됩니다.
더 심각한 점은 이 취약점이 단독으로 쓰이기보다 다른 취약점과 결합해 ‘익스플로잇 체인’을 형성한다는 것입니다. 특히 CVE-2026-63030으로 알려진 REST API batch-route confusion 취약점과 연계될 때 치명적입니다. 공격자는 먼저 CVE-2026-63030으로 인증 과정을 우회하고, 이어 CVE-2026-60137 SQL 인젝션으로 DB에 접근해 관리자 자격증명 해시(Password Hash)를 탈취합니다. 이후 탈취한 권한으로 악성 PHP 웹셸(WP2Shell 등)을 업로드해 서버 전체 제어권을 뺏습니다. 전문가들은 단 한 번의 HTTP POST 요청으로 이 모든 과정이 완료되어 서버가 장악될 수 있다고 경고합니다.
완화 및 패치 가이드
가장 확실한 근본 해결책은 워드프레스 코어를 최신 버전으로 업데이트하는 것입니다. 6.8.x 라인은 6.8.6으로, 6.9.x 라인은 6.9.5로, 7.0.x 라인은 7.0.2 버전으로 즉시 업데이트하세요. 많은 관리자가 워드프레스 자동 업데이트 기능을 신뢰하지만, 실제 환경에서는 설정 오류나 권한 문제로 업데이트가 누락되는 경우가 빈번합니다. 관리자 페이지나 CLI를 통해 버전 번호를 수동으로 확인하는 절차가 필요합니다.
패치 적용 전이나 긴급한 상황에서는 다음과 같은 임시 완화 조치를 적용하세요. WAF(웹 애플리케이션 방화벽) 규칙을 설정해 /wp-json/batch/v1 경로로 들어오는 비정상적인 POST 요청을 일시적으로 필터링하는 것이 효과적입니다. 비즈니스 운영상 필수적이지 않다면 REST API의 익명 액세스 권한을 차단해 외부 공격자가 인증 없이 쿼리를 주입하는 경로를 원천적으로 봉쇄하세요.
침해 사고가 의심될 경우 다음 인시던트 대응 단계를 수행하시기 바랍니다.
- 서버 로그를 분석하여
/wp-json/batch/v1및 WP_Query 관련 비정상 쿼리 패턴을 탐지한다. - 공격 경로로 활용된 URL 및 IP 주소를 방화벽에서 차단한다.
- 워드프레스 코어를 최신 패치 버전으로 업데이트하고, 파일 시스템을 전수 조사하여 알 수 없는 PHP 웹셸 파일을 제거한다.
- DB 내의 모든 관리자 계정의 비밀번호를 변경하고, 기존의 세션 쿠키를 무효화한다.
- 깨끗한 상태의 백업 데이터로 복구한 후, 자동 업데이트 설정을 다시 강화하고 로그 보존 정책을 수립한다.
실제 공격 사례 및 IOCs (침해 지표)
실제 공격 사례를 분석하면 공격자들은 매우 체계적인 자동화 툴을 사용합니다. wpsvc[hex]처럼 무작위 16진수가 붙은 의심스러운 관리자 계정이 생성되었거나, wp-content/plugins/ 디렉터리 내에 관리자가 설치하지 않은 낯선 디렉터리와 PHP 파일이 발견된다면 이는 전형적인 웹셸 설치 징후입니다. 데이터베이스 로그에서 author__not_in 파라미터에 UNION SELECT나 SLEEP() 같은 SQL 함수가 포함된 요청이 빈번히 발견된다면, 공격자가 DB 구조를 파악하려 스캐닝을 시도한다는 증거입니다.
보안 전문가들은 이번 CVE-2026-60137 사례가 단순한 데이터 유출을 넘어 RCE(원격 코드 실행)로 빠르게 전이되었다는 점에 주목합니다. 공격자가 한 번 진입에 성공하면 백도어를 통해 지속적인 권한을 유지하려 하므로, 단순 패치만으로는 안심할 수 없습니다. 시스템 전체 무결성을 검토하고, 알 수 없는 프로세스 실행 여부나 /tmp, /var/tmp 경로 내 수상한 실행 파일 생성 여부를 점검하는 포렌식 과정이 필요합니다.
CVE-2026-60137 워드프레스 SQL 인젝션 취약점은 사전 인증 없이 서버 전체를 장악하는 매우 위험한 결함입니다. 신속한 버전 업데이트만이 유일한 해결책입니다. 이미 공격을 받았을 가능성을 염두에 두고 웹셸 제거와 자격증명 교체 작업을 즉시 수행하시기 바랍니다. 지금 즉시 관리자 페이지에서 버전을 확인하고 보안 패치를 적용하세요.