CISA, 워드프레스 코어 취약점 '실제 악용' 확인… 美 연방기관에 사흘 안에 조치 요구
미국 사이버보안·인프라보안국(CISA)이 운영하는 '실제 악용이 확인된 취약점(KEV)' 목록에 따르면, CISA는 2026년 11월 3일 워드프레스 코어(WordPress Core)의 보안 취약점 CVE-2026-119977을 이 목록에 새로 올렸다. 워드프레스 코어는 웹사이트 제작·관리 도구인 워드프레스의 핵심 소프트웨어다. CISA는 미국 연방기관에 11월 6일까지 조치를 마치라고 요구했다. 목록에 오른 날부터 사흘 안이다.
KEV 목록에는 이론상 위험한 취약점이 아니라 실제 공격에 쓰인 것이 확인된 취약점만 오른다. 등재됐다는 것은 이 결함이 이미 공격에 쓰이고 있다는 뜻이다. 워드프레스를 쓰는 운영자라면 단순한 경고로 넘기기 어렵다.
CISA가 붙인 취약점 이름은 '워드프레스 코어 TOCTOU(Time-of-check Time-of-use) 경쟁 상태(Race Condition) 취약점'이다. CISA 설명에 따르면 이 취약점을 이용하면 인증을 받지 않은 공격자도 업그레이드가 진행되는 동안 서버에서 코드를 실행할 수 있다. CISA는 원인으로 전체 패키지 방식으로 코어를 업그레이드할 때 쓰는 임시 작업 경로(스테이징 경로)를 꼽았다. 이 경로는 미리 짐작할 수 있고 웹에서 접근할 수도 있다.
TOCTOU는 프로그램이 어떤 조건을 확인하는 시점과 그 결과를 실제로 쓰는 시점 사이의 짧은 틈을 노리는 취약점이다. 이번 경우에는 업그레이드 도중 파일이 임시 경로에 머무는 시간이 그 틈이 된다. 경로를 예측할 수 있는 데다 외부에서 웹으로 닿을 수 있다 보니, 공격자가 그 순간에 끼어들 여지가 생긴다. 로그인 정보가 없어도 공격할 수 있고, 결과가 서버에서의 코드 실행이라는 점에서 위험도가 높은 유형에 속한다. 보안을 위해 소프트웨어를 최신 상태로 올리는 과정 자체가 공격 통로가 된 셈이다.
CISA는 공급사 지침에 따라 완화 조치를 적용하라고 요구했다. 이때 CISA의 구속력 있는 운영 지침인 'BOD 26-04: 위험 기반 보안 업데이트 우선순위'와 '포렌식 분류(Forensics Triage) 요구사항'도 지켜야 한다. 클라우드 서비스에는 BOD 26-04의 해당 지침을 적용하고, 완화 조치를 적용할 수 없으면 제품 사용을 중단하라고 했다. 각 자산이 인터넷에 얼마나 노출돼 있는지 평가하고 BOD 26-04의 패치 지침을 지키는 것은 각 기관의 책임이라고 명시했다.
요구 사항에 포렌식 분류가 함께 들어간 것은 눈여겨볼 만하다. 패치나 완화 조치에서 끝내지 말고, 이미 침해 흔적이 있는지도 함께 살펴보라는 취지로 읽힌다. 실제 악용이 확인된 취약점인 만큼 조치 기한도 등재 후 사흘로 짧게 잡혔다.
이 조치 의무는 미국 연방기관에만 적용된다. 하지만 워드프레스는 기관·기업 홈페이지와 블로그 등에 두루 쓰이는 만큼 국내 운영자도 남의 일로 보기 어렵다. 같은 제품을 쓰는 국내 기관·기업도 공급사 보안 공지를 확인해 최신 버전으로 올리는 것이 좋다. 특히 이번 취약점은 코어 업그레이드 과정에서 생기는 만큼, 업그레이드 방식에 대한 공급사 안내도 함께 확인할 필요가 있다.
