[분석가] 분석 — CVE-2026-63030

• 심각도 critical · CVSS 9.8 · EPSS 0.98051 · 악용난이도 easy · KEV

1. 트리거 조건: WordPress REST API의 batch 엔드포인트에서 발생하는 Route Confusion 결함을 통해 요청 경로를 조작하고, 이를 SQL Injection 취약점이 존재하는 WP_Query 파라미터(author__not_in)로 전달하여 트리거합니다.
2. 공격 단계:
   • 정찰: 대상 WordPress 버전 확인 및 REST API 활성화 여부 점검.
   • 초기 접근: 인증되지 않은 상태(PR:N)에서 batch 엔드포인트로 조작된 HTTP 요청 전송.
   • 실행: Route Confusion을 통해 SQL Injection 쿼리를 주입하여 데이터베이스 권한 획득 및 시스템 명령 실행 시도.
   • 영향: 원격 코드 실행(RCE)을 통한 서버 제어권 확보.
3. 공격 표면: WordPress REST API batch 관련 엔드포인트 및 WP_Query와 연관된 입력 파라미터.
4. CVSS 벡터 분석: AV:N/AC:L/PR:N/UI:N으로, 네트워크를 통해 인증 없이 낮은 복잡도로 공격이 가능함을 의미합니다.

악용 가능성: 공격 난이도 및 악용 가능성 분석

본 취약점은 AV:N/AC:L/PR:N/UI:N 벡터를 가져, 인증되지 않은 외부 공격자가 특수한 권한이나 사용자 상호작용 없이 네트워크를 통해 즉시 공격 가능한 매우 낮은 난이도를 보입니다. 공격 표면은 WordPress의 REST API batch endpoint이며, 해당 엔드포인트의 route confusion 취약점과 WP_Query 내 author__not_in 파라미터의 SQL Injection(CVE-2026-60137)이 체이닝(Chaining)되는 구조입니다. 이론적 심각도를 넘어 EPSS 수치가 0.98051로 매우 높고 KEV에 등재된 점은, 이미 야생(In-the-wild)에서 실제 악용 사례가 관측되어 공격 도구가 보편화되었음을 의미합니다. 공격자는 REST API의 특정 파라미터를 조작하여 SQL 쿼리를 주입함으로써 데이터베이스 제어권을 획득하고, 최종적으로 Remote Code Execution(RCE)까지 도달할 수 있습니다. 따라서 노출된 WordPress REST API 엔드포인트가 존재하는 모든 환경은 즉각적인 공격 대상이 될 가능성이 매우 높습니다.

1. 기술적 위험:
   • 데이터 유출 및 변조: SQL Injection을 통한 DB 내 사용자 정보, 설정 값, 콘텐츠의 무단 조회 및 수정.
   • 시스템 장악: RCE를 통해 웹 서버의 OS 권한을 획득하여 악성코드 설치 또는 백도어 생성.
2. 비즈니스 영향:
   • 서비스 가용성: 시스템 전체 장악 시 서비스 중단(DoS) 및 랜섬웨어 감염 위험.
   • 신뢰 및 컴플라이언스: 고객 데이터 유출 시 개인정보 보호법 위반 및 기업 브랜드 신뢰도 치명적 하락.
   • 노출 규모: WordPress 6.9 ~ 6.9.5 및 7.0 ~ 7.0.2 버전을 사용하는 전 세계 모든 웹사이트가 잠재적 대상입니다.

본 취약점은 단독으로 작동하는 것이 아니라 두 가지 결함의 체이닝(Chaining)을 통해 완성됩니다.

• 체인 구조: REST API Route Confusion $\rightarrow$ SQL Injection (CVE-2026-60137) $\rightarrow$ Remote Code Execution (RCE).
• 패턴 분석: 입력값 검증 미흡으로 인한 경로 혼동(Route Confusion)이 내부 쿼리 생성 로직의 취약점(SQLi)을 노출시키고, 최종적으로 DB 함수나 파일 쓰기 권한을 이용해 OS 명령어를 실행하는 전형적인 고위험 체이닝 패턴입니다.

1. 로그 지표: 웹 서버 Access Log 및 WordPress Error Log 내 wp-json/batch 경로로 들어오는 비정상적인 쿼리 문자열 또는 SQL 키워드(SELECT, UNION, SLEEP, INFORMATION_SCHEMA) 포함 여부.
2. 탐지 규칙 예시:
   • Rule 1 (HTTP Request): method=POST AND uri CONTAINS "/wp-json/batch" AND body REGEX "author__not_in.*(['\"].*--|UNION|SELECT)"
   • Rule 2 (SQL Error): DB 로그 내 WP_Query 관련 구문 오류 또는 비정상적인 JOIN 요청 발생 빈도 급증.
3. 오탐 시나리오 및 튜닝: 정상적인 REST API 배치 업데이트 요청이 있을 수 있습니다. 단순 경로 접근이 아닌, 페이로드 내 SQL 특수문자 및 예약어의 조합을 정규식으로 정교화하여 탐지율을 높여야 합니다.

• 즉시(긴급 차단):
  • WAF(Web Application Firewall)에서 /wp-json/batch 경로로의 접근을 일시적으로 제한하거나, author__not_in 문자열이 포함된 요청을 차단합니다. (난이도: 저 / 영향: 일부 API 기능 제약 / 검증: HTTP 403 응답 확인)
• 단기(완화):
  • REST API 사용 범위를 제한하는 플러그인 적용 또는 특정 IP 대역만 허용하도록 ACL을 설정합니다. (난이도: 중 / 영향: 관리 편의성 감소 / 검증: 외부 비인가 IP 접근 차단 확인)
• 근본(해결):
  • WordPress 버전을 6.9.5 이상 또는 7.0.2 이상으로 즉시 업데이트합니다. (난이도: 저 / 영향: 서비스 일시 중단 가능성 / 검증: wp version 명령어로 최신 버전 확인)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었습니다. 특히 EPSS 0.98051(백분위 0.99907)은 이론적 심각도와 별개로 실제 야생에서의 악용 가능성이 최고 수준임을 나타내며, KEV 등재 및 exploit=easy 조건에 따라 규칙 기반 우선순위를 **immediate (24h 내 대응)**로 결정하였습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.98051 · exploit=easy · in_scope=None