무엇인가
2026년 7월 17일 NVD는 WordPress 코어의 치명적 취약점 CVE-2026-63030을 공개했습니다. 커뮤니티는 이 체인을 WP2Shell이라고 부릅니다. REST API 배치 경로 혼동(/?rest_route=/batch/v1)과 author__not_in 파라미터의 SQL 인젝션(CVE-2026-60137)이 결합돼 비인증 원격 코드 실행으로 이어집니다.
악용
- 7월 20일: CrowdSec이 최초 악용을 확인하고 탐지 규칙을 배포.
- 7월 21일: CISA가 해당 CVE를 KEV에 추가, 연방 기한 7월 24일.
- 심각도 CVSS 9.8, PoC와 Nuclei 템플릿이 공개됨. 며칠 만에 수천 개의 IP가 인터넷을 스캔.
영향 버전과 수정
WordPress 6.9.x 6.9.5 미만, 7.0.x 7.0.2 미만이 영향받습니다. 코어 버그라 플러그인이 필요 없고, 인터넷에 노출된 미패치 사이트가 표적입니다.
해야 할 일
즉시 7.0.2 또는 6.9.5로 업데이트하고 자동 업데이트가 적용됐는지 확인한 뒤 REST 배치 엔드포인트를 감시하세요.