[단독분석] 분석 — CVE-2026-32475

• 심각도 critical · CVSS 9.0 · EPSS 0.02374 · 악용난이도 hard

Elementor Pro의 파일 업로드 API에 인증·입력 검증이 부재하여, 공격자는 HTTP POST 요청으로 PHP·JS·HTML 등 실행 가능한 확장자를 포함한 악성 파일을 서버에 저장할 수 있습니다. UI가 필요 없으며(AV:N/UI:N) 저장된 파일을 직접 호출하면 원격 코드 실행(RCE)이 이루어집니다.

악용 가능성: CVSS 벡터 AV:N/AC:H/PR:N/UI:N에 따르면 공격자는 네트워크를 통해 원격으로 접근해야 하며, 파일 유형 검증 우회·업로드 로직 파악 등 높은 복잡도의 절차가 요구됩니다. 고난이도는 Elementor Pro의 무제한 파일 업로드 엔드포인트에 악성 파일(예: PHP)을 전송하고, 대상 서버가 해당 파일을 실행 가능한 위치에 저장하도록 허용하는 여러 사전 조건을 모두 만족해야 하기 때문입니다. EPSS 0.02374(2.374%)는 현재까지 실제 악용 사례가 매우 드물다는 점을 보여주어, 이론적 심각도와 별개로 실질적인 위협이 낮은 것으로 판단됩니다. 또한 KEV에 등재되지 않아 공개된 공격 캠페인이나 워낙 빈번한 악용 관측이 없음을 의미합니다. 공격 표면은 주로 Elementor Pro가 제공하는 파일 업로드 API(예: /wp-admin/admin‑ajax.php)와 해당 요청에서 조작 가능한 파일명·MIME 타입 파라미터에 국한됩니다. 따라서 취약 버전(4.2.1 이하)이 설치되고,

• 기술적 위험

  • 성공적인 업로드 시 웹 셸 등 악성 스크립트가 워드프레스 루트 디렉터리 아래에 배치되어 전체 시스템 장악이 가능해집니다.
  • 공격자는 관리자 권한으로 승격하거나 데이터베이스를 조작·탈취할 수 있으며, 임의의 파일을 삭제·수정함으로써 서비스 중단(DDoS)이나 웹사이트 변조가 발생합니다.

• 비즈니스 위험

  • 기밀성: 고객 정보·운영 데이터가 외부에 유출될 위험이 있습니다.
  • 무결성: 웹 페이지·컨텐츠가 무단으로 변경되어 브랜드 신뢰도가 하락합니다.
  • 가용성: 악성 파일 실행 후 시스템 장애가 발생하면 서비스 복구 비용과 다운타임 손실이 발생합니다.
  • 규제·컴플라이언스: 개인정보 보호법·GDPR 등 데이터 유출 시 법적 제재 위험이 존재합니다.

• 노출 규모
  다중 소스 교차검증 결과(신뢰도 1.0)로, Elementor Pro 버전 4.2.1 이하를 사용 중인 모든 워드프레스 사이트가 영향을 받으며, 해당 플러그인은 전 세계 수백만 사이트에 배포된 바 있습니다.

• 파일 업로드 취약점은 기존의 워드프레스 권한 상승(CVE‑2022‑XXXXX) 혹은 플러그인 디렉터리 탐색과 결합해 더 높은 권한을 획득하는 데 활용될 수 있습니다.
• 악성 파일이 웹 서버에 배치된 뒤, 알려진 PHP 인클루전 취약점(CVE‑2021‑XXXXX) 등을 이용하면 추가적인 코드 실행 경로를 마련할 수 있습니다.

• 웹 서버 접근 로그에서 /wp-content/uploads/elementor/ 경로나 해당 플러그인 API 엔드포인트(admin‑ajax.php?action=elementor_upload)에 대한 POST 요청이 비정상적으로 다수 발생하는 경우.
• 업로드된 파일 중 .php, .phtml, .js 등 실행 가능한 확장자를 가진 신규 파일 생성 로그.
• WAF/IDS에서 “Unrestricted File Upload” 또는 “Malicious file type upload” 시그니처가 트리거되는 이벤트.

1. 즉시 조치

   • Elementor Pro 설정에서 파일 업로드 기능을 비활성화하거나, 서버 차원에서 wp-content/uploads/elementor 디렉터리에 대해 실행 가능한 파일 확장자를 차단(.htaccess 또는 Nginx deny *.php;).
   • 웹 애플리케이션 방화벽에 “unrestricted file upload” 규칙을 적용하여 위험한 MIME 타입·확장자 업로드를 차단합니다.

2. 근본 해결

   • 공급업체가 제공하는 공식 패치를 적용하거나, 취약 버전(≤ 4.2.1)을 최신 안전 버전으로 업데이트합니다.
   • 파일 업로드 검증 로직을 강화하고, 허용된 MIME 타입·확장자만 수용하도록 코드를 수정합니다.

3. 추가 방어

   • 워드프레스 및 플러그인 전체를 정기적으로 최신 상태로 유지하고, 최소 권한 원칙에 따라 파일 시스템 권한을 제한합니다.
   • EPSS 0.02374(백분위 0.82711)라는 실측 악용 가능성 수치는 현재 공격이 hard 등급으로 평가되지만, 높은 CVSS 9.0 점수와 전 세계적 사용량을 고려해 우선순위가 이번 주 내에 scheduled로 지정된 이유임을 감안하면, 조기 대응이 권고됩니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.0 · non-KEV · EPSS=0.02374 · exploit=hard · in_scope=None