WordPress Core 업그레이드 창 RCE `CVE-2026-119977` 실제 악용

원문 기반 한국어 요약

미국 CISA는 2026년 11월 3일 `CVE-2026-119977`을 실제 악용이 확인된 취약점 목록(KEV)에 추가했다. 미국 연방 민간 행정부 기관의 조치 기한은 11월 6일이며, 알려진 랜섬웨어 캠페인 사용 여부는 확인되지 않았다. [1][3]

취약점은 WordPress Core의 전체 패키지 업그레이드 과정에서 검사 시점과 사용 시점이 달라지는 TOCTOU 경쟁 조건이다. 예측 가능한 웹 접근 가능 스테이징 경로 때문에 업그레이드가 진행되는 동안 인증되지 않은 원격 공격자가 서버에서 코드를 실행할 수 있다. [3][4]

공개된 CVE 범위는 WordPress Core 4.7부터 7.1.3까지이며 CVSS v3.1 기본 점수는 8.1이다. 네트워크 접근이 가능하고 권한과 사용자 상호작용은 필요하지 않지만 공격 복잡도는 높다. [4]

WordPress는 10월 28일 7.1.4 보안 릴리스를 배포했다. 공식 공지는 업그레이드 과정에서 원격 코드 실행으로 이어질 수 있는 약점을 수정했다고 밝혔고 모든 사이트의 즉시 업데이트를 권고했다. [2]

WordPress는 보안 수정 사항을 보안 업데이트 대상인 4.7 이후 분기에 백포트하고 있으나 최신 버전만 적극 지원된다고 밝혔다. 각 분기의 보안 빌드 제공 여부를 확인하고 가능하면 7.1.4로 업데이트해야 한다. [2]

자동 백그라운드 업데이트 지원 여부와 실제 버전을 확인하고, 패치 전 업그레이드 시점의 웹·프로세스 로그에서 비정상 스테이징 경로 접근이나 코드 실행 흔적을 점검해야 한다. [2][3]

근거: 아래 출처 [1] · [2] · [3] · [4] · 원문 전체 번역이 아닌 핵심 내용의 번역·요약