[공격] 분석 — CVE-2026-63030

• 심각도 critical · CVSS 9.8 · EPSS 0.98051 · 악용난이도 easy · KEV

(1) 트리거 조건: WordPress REST API의 batch 엔드포인트에서 발생하는 Route Confusion 결함이 트리거입니다. 공격자가 정교하게 조작된 요청을 보내면, 서버가 요청된 경로를 오인하여 내부 쿼리 로직으로 비정상적인 파라미터를 전달하게 됩니다.

(2) 공격 단계:

• 정찰: 대상 WordPress 버전 확인 및 REST API 활성화 여부 체크 (/wp-json/ 접근 가능성 확인).
• 초기접근: 인증되지 않은 상태(PR:N)에서 batch 엔드포인트로 Route Confusion을 유도하는 HTTP 요청 전송.
• 실행·권한 획득: 오인된 경로를 통해 SQL Injection 취약점이 있는 파라미터에 페이로드 주입 $\rightarrow$ DB 데이터 탈취 및 관리자 세션/해시 획득 $\rightarrow$ 최종적으로 RCE(원격 코드 실행) 달성.
• 지속: 웹쉘 업로드 또는 관리자 계정 생성 등을 통해 지속적인 접근 권한 확보.
• 영향: 서버 전체 제어권 획득 및 데이터베이스 완전 유출.

(3) 공격 표면:

• 엔드포인트: wp-json 하위의 REST API batch 관련 경로.
• 파라미터: Route Confusion을 유도하는 요청 바디 및 SQL Injection이 발생하는 특정 쿼리 파라미터(author__not_in 관련 추정).

(4) CVSS 벡터 분석: AV:N/AC:L/PR:N/UI:N은 공격자가 네트워크를 통해, 특별한 권한이나 사용자 상호작용 없이, 매우 낮은 난이도로 공격 가능함을 의미합니다. 이는 외부 노출된 모든 취약 버전의 WordPress가 즉각적인 타겟이 됨을 뜻합니다.

악용 가능성: 본 취약점은 네트워크를 통한 원격 공격이 가능하며(AV:N), 특별한 권한이나 사용자 상호작용 없이도 트리거되는 최악의 전제조건(PR:N/UI:N)을 갖추고 있어 공격 난이도가 매우 낮습니다. 특히 EPSS 점수가 0.98051에 달하고 KEV에 등재되었다는 점은 이론적 가능성을 넘어 이미 야생(In-the-wild)에서 자동화된 공격 도구로 활발히 악용되고 있음을 증명합니다. 공격 표면은 외부로 노출된 WordPress의 REST API batch endpoint이며, 여기서 발생하는 Route Confusion 결함이 진입점이 됩니다. 공격자는 해당 엔드포인트의 경로 해석 오류를 이용해 내부 쿼리 구조를 조작하고, 이를 WP_Query 내 author__not_in 파라미터의 SQL Injection 취약점(CVE-2026-60137)으로 연결하는 체이닝 공격을 수행합니다. 결과적으로 정찰 단계에서 REST API 노출 여부를 확인한 후, 특수하게 조작된 HTTP 요청을 통해 DB 권한 탈취 및 최종적으로 Remote Code Execution(RCE)까지 이어지는 치명적인 공격 경로가 형성됩니다.

(1) 기술적 위험:

• RCE (Remote Code Execution): 최악의 시나리오로, 서버 OS 수준의 명령어를 실행하여 시스템 전체를 장악할 수 있습니다.
• 데이터 유출: SQL Injection을 통해 wp_users, wp_options 등 핵심 DB 테이블의 민감 정보(해시된 비밀번호, 설정 값)를 무단 추출할 수 있습니다.

(2) 비즈니스 영향:

• 서비스 가용성: 공격자가 웹사이트 변조(Defacement)를 수행하거나 랜섬웨어를 배포하여 서비스 중단을 초래할 수 있습니다.
• 신뢰 및 규제: 고객 개인정보 유출 시 GDPR 등 데이터 보호 법규 위반으로 인한 법적 책임 및 브랜드 신뢰도 급락이 예상됩니다.

본 취약점은 단독으로 작동하는 것이 아니라, 두 가지 서로 다른 유형의 결함이 체이닝(Chaining)되어 파괴력이 극대화됩니다.

• 체인 경로: REST API Route Confusion $\rightarrow$ SQL Injection (WP_Query) $\rightarrow$ RCE.
• 상세 원리:
  1. 첫 번째 결함(Route Confusion)이 보안 필터를 우회하거나 의도치 않은 함수로 진입하게 하는 '통로' 역할을 합니다.
  2. 이 통로를 통해 전달된 입력값이 두 번째 결함인 SQL Injection 지점(author__not_in 관련 로직 추정)에 도달하여 DB 쿼리를 조작합니다.
  3. 추출한 관리자 권한이나 설정 변경을 통해 최종적으로 RCE 단계로 진입하는 구조입니다.

(1) 로그 지표: 웹 서버 액세스 로그(access.log) 및 WordPress 에러 로그에서 /wp-json/batch 경로로 들어오는 비정상적인 길이의 요청이나 SQL 키워드(SELECT, UNION, SLEEP, --)가 포함된 URI/Body 패턴을 확인해야 합니다.

(2) 탐지 규칙 예시:

• Rule 1 (URI 패턴): request_uri contains "/wp-json/" AND request_uri contains "batch" AND (payload contains "UNION SELECT" OR payload contains "SLEEP(")
• Rule 2 (정규식 기반): (?i)(batch.*(author__not_in|SELECT|UPDATE|INSERT)) 패턴이 HTTP Request Body 또는 Query String에서 발견되는지 감시.

(3) 오탐 시나리오 및 튜닝: 정당한 REST API 일괄 처리 요청이 있을 수 있습니다. 단순히 batch 경로를 차단하기보다, SQL 특수문자와 Route Confusion을 유도하는 비정상적인 경로 구조가 결합된 패턴으로 정밀하게 튜닝해야 합니다.

• 즉시(긴급 차단): WAF(Web Application Firewall)에서 /wp-json/batch 엔드포인트로의 외부 접근을 일시적으로 제한하거나, SQL Injection 시그니처 기반 차단 룰 적용. (난이도: 하 / 영향: 일부 API 기능 불가 / 검증: HTTP 403 응답 확인)
• 단기(완화): REST API 사용 범위가 제한적이라면 disable_wp_rest_api 같은 플러그인이나 코드를 통해 인증되지 않은 사용자의 REST API 접근을 전면 차단. (난이도: 중 / 영향: 외부 서비스 연동 단절 가능성 / 검증: 비인증 요청 시 401/403 확인)
• 근본(해결): WordPress를 최신 보안 패치 버전으로 업데이트 (6.9.5 또는 7.0.2 이상). (난이도: 하 / 영향: 서비스 일시 중단 가능성 / 검증: wp version 명령어로 버전 확인)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 0.98051(실제 악용 예측 최고 수준) 및 KEV 등재 사실에 근거하여 우선순위를 immediate로 결정하였습니다. 단순 이론적 점수가 아닌 실측 기반의 위험도가 반영된 결과입니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.98051 · exploit=easy · in_scope=None