[분석가] 분석 — CVE-2026-60137

• 심각도 medium · CVSS 5.9 · EPSS 0.77974 · 악용난이도 easy · KEV

(1) 트리거 조건: WP_Query 클래스의 author__not_in 파라미터에 전달되는 입력값이 적절히 정제(Sanitize)되지 않아 발생합니다. 취약한 버전의 WordPress를 사용하는 환경에서, 신뢰할 수 없는 사용자 입력을 해당 파라미터로 직접 전달하는 플러그인이나 테마가 설치되어 있을 때 트리거됩니다.
(2) 공격 단계:

• 정찰: 대상 사이트의 WordPress 버전 및 WP_Query를 사용하는 취약한 플러그인/테마 식별.
• 초기 접근: 외부에서 접근 가능한 HTTP 요청을 통해 조작된 입력값 전송.
• 실행: SQL Injection 구문을 삽입하여 데이터베이스 쿼리 구조 변경.
• 영향: 인증되지 않은 상태에서 DB 내 민감 정보 추출(Data Exfiltration).
  (3) 공격 표면: WP_Query를 호출하는 플러그인 또는 테마의 엔드포인트 및 author__not_in 파라미터.
  (4) CVSS 벡터 분석: AV:N(네트워크를 통해 원격 공격 가능), AC:H(취약한 파라미터를 사용하는 특정 플러그인/테마가 설치되어 있어야 하므로 공격 복잡도 높음), PR:N(권한 불필요), UI:N(사용자 상호작용 불필요).

악용 가능성: 공격 난이도 및 악용 가능성 분석

본 취약점은 AV:N/PR:N/UI:N 벡터를 가져 인증되지 않은 외부 공격자가 네트워크를 통해 원격으로 접근 가능한 구조입니다. 다만, AC:H 판정 근거는 WordPress 코어 자체의 결함이 특정 플러그인이나 테마가 WP_Query 클래스의 author__not_in 파라미터에 검증되지 않은 사용자 입력을 전달하는 조건이 충족되어야 트리거되기 때문입니다. 그럼에도 불구하고 EPSS 수치가 0.77974로 매우 높고 KEV(Known Exploited Vulnerabilities)에 등재된 점은, 이미 공격자들이 취약한 파라미터를 사용하는 타겟 플러그인/테마 조합을 식별하여 실제 야생(In-the-wild)에서 악용하고 있음을 시사합니다. 공격 표면은 외부 입력값이 WP_Query로 전달되는 엔드포인트와 해당 쿼리 파라미터가 되며, 이를 통해 SQL Injection이 가능해집니다. 결과적으로 이론적인 트리거 조건(AC:H)보다 실제 악용 사례 기반의 위협 수준이 훨씬 높으므로, 공격 난이도는 'Easy'로 판단되며 즉각적인 악용 가능성이 매우 큽니다.

(1) 기술적 위험: SQL Injection을 통해 데이터베이스 내의 사용자 정보, 설정 값, 게시글 내용 등 민감 데이터가 유출될 수 있습니다. CVSS 벡터상 C:H로 기재되어 있어 기밀성 영향이 높습니다. 다만, I:N, A:N으로 명시되어 있어 데이터 변조나 서비스 중단 가능성은 상대적으로 낮게 평가됩니다.
(2) 비즈니스 영향: 고객 개인정보 유출 시 GDPR 등 컴플라이언스 위반 및 법적 리스크가 발생하며, 사이트 신뢰도 하락으로 이어질 수 있습니다. 광범위한 버전(6.8~7.0 계열)에 걸쳐 영향을 미치므로 노출 규모가 클 것으로 판단됩니다.

• 추정: SQL Injection을 통해 관리자 계정의 해시 값을 획득한 후, 이를 크래킹하여 관리자 권한을 탈취하는 '인증 우회 및 권한 상승' 체이닝이 가능할 것으로 보입니다.
• 추정: 획득한 관리자 권한을 이용하여 테마/플러그인 편집기에서 악성 코드를 삽입함으로써 RCE(Remote Code Execution)로 이어지는 전형적인 WordPress 공격 패턴이 예상됩니다.

(1) 로그 지표: 웹 서버 액세스 로그 및 WAF 로그의 Query String 또는 POST Body 필드에서 SQL 키워드(SELECT, UNION, SLEEP, INFORMATION_SCHEMA 등)와 author__not_in 파라미터가 함께 관측되는지 확인합니다.
(2) 탐지 규칙 예시:

• Rule 1 (WAF/SIEM): request.params["author__not_in"] contains any of ('UNION SELECT', 'GROUP BY', 'SLEEP(', '--')
• Rule 2 (정규식): (?i)(author__not_in\s*=\s*.*(union|select|sleep|benchmark|concat))
• Rule 3 (로직): 단일 IP에서 짧은 시간 내에 author__not_in 파라미터를 포함한 다양한 변형 요청이 다수 발생하는 경우.
  (3) 오탐 시나리오 및 튜닝: 정상적인 플러그인 기능으로 인해 숫자 형태의 ID 목록이 전달될 수 있습니다. 단순 숫자와 쉼표(,) 조합은 제외하고, SQL 특수문자(', ", ;)나 예약어가 포함된 경우만 탐지하도록 정교화합니다.

• 즉시(긴급 차단): WAF(Web Application Firewall)에서 author__not_in 파라미터에 대한 SQL Injection 시그니처 기반 차단 룰을 적용합니다. (난이도: 낮음 / 영향: 낮음 / 검증: 공격 페이로드 전송 시 403 응답 확인)
• 단기(완화): 취약한 WP_Query 파라미터를 사용하는 서드파티 플러그인 및 테마를 식별하여 임시 비활성화하거나, 입력값에 대해 강제적으로 정수형 캐스팅을 수행하는 필터 코드를 적용합니다. (난이도: 중간 / 영향: 일부 기능 작동 중단 가능성 / 검증: 해당 기능 동작 여부 테스트)
• 근본(해결): WordPress를 보안 패치가 적용된 최신 버전으로 업데이트합니다.
  • 대상 버전: 6.8.6, 6.9.5, 7.0.2 또는 그 이상의 최신 버전.
  • 절차: 백업 수행 $\rightarrow$ WordPress 코어 업데이트 $\rightarrow$ 플러그인/테마 호환성 테스트. (난이도: 낮음 / 영향: 업데이트 중 일시적 서비스 지연 가능 / 검증: wp-admin 내 버전 정보 확인)

[분석 근거]
본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며(신뢰도 1.0), 실측 EPSS 값(0.77974, 백분위 0.99527)을 통해 이론적 심각도와 별개로 실제 야생에서의 악용 가능성이 매우 높음을 확인하였습니다. 특히 KEV 등재 및 exploit=easy 판정에 근거하여 우선순위를 'immediate(24시간 내 대응)'로 결정하였습니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=5.9 · KEV · EPSS=0.77974 · exploit=easy · in_scope=None