[방어] 분석 — CVE-2026-60137

• 심각도 medium · CVSS 5.9 · EPSS 0.79029 · 악용난이도 easy · KEV

• 촉발 지점: WP_Query 클래스의 author__not_in 파라미터에 대한 입력값 검증(Sanitization) 미흡.
• 경로: 외부 입력값이 플러그인이나 테마를 통해 WP_Query의 author__not_in 인자로 전달될 때 발생.
• 단계:
  1. 공격자가 HTTP 요청 파라미터를 통해 조작된 SQL 구문(배열 형태 등)을 주입.
  2. 취약한 버전의 WordPress 코어가 이를 적절히 필터링하지 않고 DB 쿼리에 직접 반영.
  3. 추정: NOT IN (...) 절 내에 임의의 SQL 쿼리를 삽입하여 데이터베이스 정보를 탈취하거나 구조를 파악.

악용 가능성: 본 취약점의 공격 난이도는 easy로 판정되며, 이는 이론적 복잡도보다 실제 악용 가능성이 압도적으로 높기 때문입니다. CVSS 벡터상 AV:N/PR:N/UI:N으로 외부망에서 인증 없이 접근 가능하며, AC:H임에도 불구하고 이미 KEV에 등재되어 실제 공격 사례가 확인된 실질적 위협입니다. 특히 EPSS 수치가 0.79029로 매우 높게 측정된 점은 공격 도구가 보편화되었거나 자동화된 스캐닝이 활발히 진행 중임을 시사합니다. 공격 표면은 WP_Query 클래스의 author__not_in 파라미터이며, 이를 부적절하게 처리하는 플러그인이나 테마의 엔드포인트가 외부 입력값에 노출될 때 SQL Injection 트리거가 발생합니다. 결과적으로 특정 조건(취약한 플러그인 설치)만 충족되면 공격자가 HTTP 요청을 통해 데이터베이스에 직접 접근할 수 있어 악용 가능성이 매우 높습니다.

• 데이터 유출: C:H (Confidentiality High) 등급으로, DB 내 사용자 정보, 설정 값 및 민감한 콘텐츠 유출 가능.
• 가용성 저하: 추정: 대량의 정수 배열을 주입하여 DB CPU 부하를 일으키는 Resource Exhaustion 공격 가능성 존재.

• 유형: SQL Injection (CWE-89).
• 체이닝: 인증되지 않은 사용자가 접근 가능한 플러그인/테마의 쿼리 필터 기능과 결합될 때 공격 표면(Attack Surface)이 극대화됨.

다중 소스 데이터 일관성이 확인된 신뢰도 1.0의 리포트이며, 특히 EPSS 0.79029는 이론적 심각도와 별개로 실제 악용 가능성이 매우 높음을 의미함. 따라서 단순 패치보다 실시간 탐지가 우선되어야 함.

• 로그 지표:
  • 대상 로그: WAF 요청 로그, 웹 서버 액세스 로그(Query String), DB Slow Query 로그.
  • 주요 필드: uri, query_string, request_body.
• 탐지 규칙 예시:
  1. WAF/SIEM (SQLi 패턴 탐지):
     SELECT * FROM logs WHERE query_string MATCHES 'author__not_in=.*(UNION|SELECT|SLEEP|BENCHMARK|--|#)'
  2. 비정상 배열 구조 및 길이 탐지:
     • 조건: author__not_in 파라미터의 값 길이가 임계치(예: 500자)를 초과하거나, 정수 외의 특수문자가 포함된 배열 형태인 경우.
     • 의사코드: IF (request.param("author__not_in").length > 500 OR request.param("author__not_in") REGEX "[^0-9,\[\]]") THEN ALERT
  3. DB 부하 모니터링:
     • 조건: NOT IN 절이 포함된 쿼리의 실행 시간이 급증하거나 CPU 점유율이 스파이크 되는 현상 추적.
• 오탐 튜닝:
  • 정상적인 관리자 페이지의 필터링 기능에서 발생하는 다량의 ID 배열 요청인지 확인 필요.
  • author__not_in 파라미터를 사용하는 합법적인 플러그인의 정상 요청 패턴(정수, 콤마 구성)을 화이트리스트화하여 제외.

본 취약점은 KEV 등재 및 EPSS 수치 기반으로 'Immediate' 우선순위로 결정됨. 패치 전까지 다음 계층별 조치를 적용함.

• 즉시 (긴급 차단):
  • 조치: WAF에서 author__not_in 파라미터에 SQL 키워드(UNION, SELECT 등)가 포함된 요청을 즉시 Drop 처리.
  • 난이도: 낮음 / 운영 영향: 매우 낮음 / 검증: 조작된 쿼리 전송 시 403 Forbidden 확인.
• 단기 (완화):
  • 조치: WP_Query를 사용하는 플러그인/테마 레벨에서 author__not_in에 전달되는 입력값을 array_map('intval', $input) 등으로 강제 형변환하거나 배열 크기를 제한하는 로직 추가. (동료 토론 반영: 코어 패치 전 플러그인 래핑 구간의 타입 검증이 실효성 높음)
  • 난이도: 중간 / 운영 영향: 낮음(정상 기능 유지) / 검증: 비정수 값 주입 시 무효화 확인.
• 근본 (해결):
  • 조치: WordPress 코어 업데이트 수행.
    • v6.8 $\rightarrow$ 6.8.6 이상
    • v6.9 $\rightarrow$ 6.9.5 이상
    • v7.0 $\rightarrow$ 7.0.2 이상
  • 난이도: 낮음 / 운영 영향: 중간(업데이트 후 플러그인 호환성 테스트 필요) / 검증: wp --version 확인 및 취약 버전 여부 체크.

잔여 리스크: 코어 패치 후에도 커스텀하게 구현된 쿼리 빌더나 서드파티 플러그인이 내부적으로 WP_Query를 잘못 호출하는 경우, 논리적 SQLi 경로가 남을 수 있으므로 지속적인 WAF 모니터링이 필요함.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=5.9 · KEV · EPSS=0.79029 · exploit=easy · in_scope=None