CISA, 11월 1~8일 '실제 악용' 취약점 3건 등재…워드프레스 코어 업그레이드 중 원격 코드 실행 취약점 포함
미국 사이버보안·인프라보안국(CISA)이 공개한 '실제 악용 확인 취약점(KEV)' 목록을 보면, 11월 1일부터 8일까지 새로 오른 취약점은 3건이다. 이 가운데 하나는 워드프레스(WordPress)의 핵심 소프트웨어인 'WordPress Core'의 보안 취약점(CVE-2026-119977)이다. CISA는 이 취약점을 11월 3일 목록에 올렸고, 미국 연방기관에는 11월 6일까지 조치를 마치라고 요구했다.
KEV는 이론적으로만 위험한 취약점은 담지 않는다. 실제 공격에 쓰인 것이 확인된 취약점만 모은 목록이다. 그래서 여기에 올랐다는 것은 공격자가 이미 그 약점을 이용하고 있다는 뜻이다. 목록에 오른 제품을 쓰는 조직이라면 패치 순서를 정할 때 가장 먼저 봐야 할 기준이 된다.
이번 수치는 CISA가 공개한 누적 목록에서 이달 1~8일분을 뽑아 중간 집계한 것이다. 날수가 같은 기간끼리만 비교했다. 지난해 같은 기간에는 2건이 올라 올해가 1건 많다. 지난달 같은 기간인 10월 1~8일에는 9건이 올라 이번 달이 6건 적다. 제조사별로는 SonicWall, WordPress, 애플이 1건씩이다. 특정 회사에 몰리지 않고 네트워크 보안 장비, 웹사이트 제작 플랫폼, 소비자 기기 제조사로 고르게 나뉘었다. 이달 확정 집계는 월말이 지나면 따로 정리한다.
CISA가 붙인 워드프레스 취약점의 이름은 'WordPress Core 검사 시점·사용 시점(TOCTOU) 경합 조건 취약점'이다. TOCTOU는 프로그램이 파일이나 경로를 확인하는 시점과 실제로 쓰는 시점 사이에 생기는 짧은 틈을 노리는 유형이다. CISA 설명에 따르면 워드프레스 코어를 전체 패키지 방식으로 업그레이드할 때 쓰는 임시(스테이징) 경로는 미리 예측할 수 있고 웹에서 접근할 수도 있다. 이 때문에 인증되지 않은 공격자가 업그레이드가 진행되는 동안 서버에서 코드를 실행할 수 있다. 로그인 같은 사전 권한이 없어도 공격할 수 있다는 점이 특징이다. 또 보안을 위해 하는 업그레이드 작업 자체가 공격 기회가 된다.
CISA가 요구한 조치는 여러 겹이다. 먼저 공급사 지침에 따라 완화 조치를 적용해야 한다. 이때 CISA의 구속력 있는 운영 지침 'BOD 26-04 위험 기반 보안 업데이트 우선순위'와 '포렌식 분류(트리아지) 요구사항'을 지켜야 한다. 클라우드 서비스라면 BOD 26-04의 관련 지침을 따르고, 완화 조치가 없으면 제품 사용을 중단하라고 했다. 아울러 각 기관이 자산마다 인터넷 노출 정도를 직접 평가하고 BOD 26-04의 패치 지침을 지킬 책임이 있다고 명시했다. 목록 등재일(11월 3일)부터 이행 기한(11월 6일)까지는 사흘에 불과하다.
이 기한은 미국 연방기관에만 적용된다. 하지만 같은 제품을 쓰는 국내 기관과 기업도 그냥 넘길 사안은 아니다. 워드프레스로 홈페이지나 블로그를 운영한다면 공급사 보안 공지를 확인해 최신 버전으로 올리는 것이 좋다. 코어 업그레이드를 할 때는 그 과정에서 서버가 노출된다는 점도 함께 살펴야 한다. 이번에 함께 목록에 오른 SonicWall과 애플 제품을 쓰는 곳도 제조사 보안 업데이트를 점검할 필요가 있다.
