로그인된 관리자가 공격자가 만들어 둔 특정 링크를 열기만 해도, 관리자의 추가 클릭 없이 공식 WordPress.org 디렉터리에서 테마가 강제로 설치되는 결함이 발생합니다. 문제는 WordPress.org 공식 디렉터리와 관리자의 브라우저가 동일한 링크 값을 서로 다르게 해석하는 불일치에 있습니다. 설치된 테마에 추가 결함이 있을 경우 원격 코드 실행(RCE)으로 이어질 수 있는 치명적인 취약점입니다.
WordPress Click2Shell 취약점 개요
WordPress Click2Shell은 관리자 권한을 가진 사용자의 브라우저 세션을 이용해 시스템에 임의의 테마를 강제로 설치하게 만드는 코어 취약점입니다. 일반적인 테마 설치 과정에서는 관리자가 설치 버튼을 클릭하는 명시적인 동의 과정이 필요하지만, 이 취약점은 링크 접속만으로 해당 프로세스를 트리거합니다.
이 취약점은 WordPress 코어, 그러니까 핵심 엔진 레벨에서 발생하는 이슈입니다. 2026년 9월 17일 보안 릴리스 7.1.1 버전이 배포되면서 패치되었습니다. 공식적인 CVE 번호는 아직 부여되지 않았고, WordPress 측에서 관련 절차를 진행 중인 것으로 알려졌습니다.
기술적 분석 및 공격 메커니즘
Click2Shell 공격의 핵심은 ‘해석의 불일치(Mismatch)’에 있습니다. 공격자가 정교하게 설계한 링크를 관리자가 클릭하는 순간, 시스템의 두 구성 요소가 같은 링크 값을 서로 다른 방식으로 처리하면서 보안 공백이 생깁니다.
1. 구성 요소별 해석 차이
- WordPress.org 공식 디렉터리: 링크 내의 값을 단순한 테마 이름으로 해석하여 실제 테마 파일을 반환합니다.
- 관리자 브라우저: 동일한 링크의 원본 텍스트를 구두점을 포함하여 코드 내의 값으로 그대로 재사용합니다.
2. 공격 성립 조건 및 특징
이 공격이 성립하려면 로그인된 관리자 계정이 반드시 필요합니다. 그렇지만 공격자가 직접 시스템의 설치용 nonce(일회성 토큰)를 획득하거나, 별도의 install_themes 권한을 직접 보유할 필요는 없습니다. 이 점이 기술적인 위협 요인입니다. 관리자의 인증된 세션만 이용할 수 있다면 공격자는 손쉽게 테마 설치 프로세스를 강제할 수 있습니다.
영향 범위 및 잠재적 위험(RCE)
이 취약점은 특정 버전에 국한되지 않고 WordPress 7.1.1 이전의 모든 버전에 영향을 미치는 광범위한 이슈입니다. 단순히 원하지 않는 테마가 설치되는 데 그치지 않고, 공격 체인(Attack Chain)을 통해 시스템 전체의 제어권을 탈취하는 단계로 발전할 수 있습니다.
원격 코드 실행(RCE) 체인으로의 확장
강제 설치된 테마 자체에 별도의 보안 결함이 포함되어 있을 경우, 공격자는 이를 징검다리로 활용할 수 있습니다. 설치된 테마의 취약점과 Click2Shell의 강제 설치 메커니즘이 결합되면, 공격자가 공급한 PHP 코드가 서버에서 직접 실행되는 원격 코드 실행(RCE) 상태로 확장됩니다. 이는 웹사이트의 데이터베이스 유출, 파일 변조, 서버 장악으로 이어질 수 있는 시나리오입니다.
취약점 영향도 요약
| 구분 | 상세 내용 |
|---|---|
| 영향 버전 | WordPress 7.1.1 이전 모든 버전 |
| 필수 조건 | 로그인된 관리자 계정 세션 |
| 최종 위험 | 임의 PHP 코드 실행 (RCE) |
| 패치 버전 | WordPress 7.1.1 |
대응 방안 및 업데이트 권고
WordPress 보안 담당자와 웹 개발자는 이번 Click2Shell 취약점의 위험성을 인지하고 즉각적인 조치를 취해야 합니다. 관리자 계정이 탈취되지 않았더라도 단순한 링크 클릭만으로 시스템이 침해될 수 있다는 점에서 경각심이 필요합니다.
1. 최신 버전 업데이트
이 취약점을 해결할 수 있는 유일하고 확실한 방법은 WordPress 코어를 7.1.1 버전으로 업데이트하는 것입니다. 2026년 9월 17일에 배포된 이 보안 릴리스는 Click2Shell의 근본 원인인 해석 불일치 문제를 해결합니다.
2. 우회 방법(Workaround) 부재
이 취약점에 대해 알려진 별도의 임시 우회 방법이나 완화 수단(Workaround)은 존재하지 않습니다. WordPress 공식 팀과 보안 분석 기관인 pwn.ai 모두 업데이트 외의 다른 완화 수단을 내놓지 않았습니다. 설정 변경이나 플러그인을 통한 방어는 불가능합니다.
3. 관리자 보안 수칙 강화
업데이트를 마치기 전까지는 아래 보안 주의사항을 지키는 수밖에 없습니다.
- 출처가 불분명한 외부 링크를 관리자 세션이 유지된 브라우저에서 열지 않습니다.
- 관리자 페이지에 접근할 때는 불필요한 브라우저 탭 사용을 줄입니다.
- 정기적인 코어 업데이트 체계를 구축해 보안 패치 적용 시간을 최소화합니다.
WordPress Click2Shell은 관리자의 단순한 행동 하나가 시스템 전체의 위협으로 이어지는 경로를 제공합니다. 운영 중인 WordPress 사이트가 있다면 버전부터 확인하고, 즉시 7.1.1 버전 이상으로 업데이트해서 RCE 체인으로의 확장 가능성을 차단하시기 바랍니다.