[방어] 분석 — CVE-2026-63030

• 심각도 critical · CVSS 9.8 · EPSS 0.98417 · 악용난이도 easy · KEV

1. Route Confusion: WordPress의 REST API batch 엔드포인트에서 경로 해석 오류를 유발하여 정상적인 인증/검증 로직을 우회하거나 의도치 않은 내부 라우트로 요청을 전달합니다.
2. Chaining: 위 과정으로 확보된 접근 권한을 통해 author__not_in 파라미터가 사용되는 WP_Query 지점으로 조작된 쿼리를 전달합니다.
3. SQL Injection: 입력값 검증이 미흡한 author__not_in 필드에 SQL 구문을 삽입하여 데이터베이스 권한을 획득합니다.
4. RCE: DB 내 설정 변경이나 파일 쓰기 함수 등을 이용해 최종적으로 원격 코드 실행(Remote Code Execution) 단계까지 진입합니다.

악용 가능성: 본 취약점의 공격 난이도는 매우 낮으며, 실제 악용 가능성은 극도로 높습니다. AV:N/AC:L/PR:N/UI:N 벡터가 보여주듯 별도의 인증이나 사용자 상호작용 없이 네트워크를 통해 누구나 접근 가능한 상태이며, 복잡한 전제조건 없이 즉시 트리거될 수 있습니다. 특히 EPSS 점수가 0.98417로 매우 높고 KEV에 등재되었다는 점은 이론적 위험을 넘어 이미 공격자들이 자동화된 도구로 실전 배포하고 있음을 의미합니다. 공격 표면은 WordPress의 REST API batch endpoint이며, 해당 엔드포인트의 Route Confusion 취약점을 통해 내부 쿼리로 진입하는 구조입니다. 최종적으로는 WP_Query 내 author__not_in 파라미터를 통한 SQL Injection으로 이어지며, 이는 데이터 탈취를 넘어 Remote Code Execution(RCE)까지 확장될 수 있는 치명적인 경로를 제공합니다.

• 데이터 유출 및 변조: DB 전체에 대한 접근 권한 획득으로 사용자 정보, 설정 값 등 모든 데이터 탈취 가능.
• 시스템 완전 장악: RCE를 통해 웹 서버의 OS 권한을 획득하여 백도어 설치 및 내부망 침투 거점으로 활용 가능.

• 본 취약점(CVE-2026-63030)은 단독으로 작동하기보다 author__not_in 관련 SQL Injection 취약점(CVE-2026-60137)과 체이닝될 때 파괴력이 극대화되는 구조입니다.

다중 소스에서 일관성이 확인된 데이터에 근거하여, REST API의 batch 엔드포인트와 SQLi 특성 패턴을 동시에 모니터링해야 합니다.

1. 로그 지표 및 분석 필드

• 대상 로그: Web Server Access Log (Nginx/Apache), WAF Request Log, WordPress Audit Log
• 핵심 필드: request_uri, query_string, http_method, user_agent
• 위험 징후: /wp-json/batch 경로로 들어오는 비정상적인 POST 요청 및 파라미터 내 SQL 키워드 포함 여부.

2. 탐지 규칙 예시 (SIEM 의사코드)

• Rule 1 (Route Confusion 시도 탐지):
  SELECT * FROM logs WHERE uri LIKE '/wp-json/batch%' AND method = 'POST' AND (uri REGEXP '(\.\./|%2e%2e%2f)')
• Rule 2 (SQLi 체이닝 탐지 - 핵심):
  SELECT * FROM logs WHERE uri LIKE '/wp-json/batch%' AND query_string REGEXP '(author__not_in\s*=\s*.*(UNION|SELECT|SLEEP|BENCHMARK|INFORMATION_SCHEMA))'
• Rule 3 (RCE 후속 행위 탐지):
  SELECT * FROM logs WHERE uri LIKE '/wp-json/batch%' AND response_code = 200 AND request_body REGEXP '(base64_decode|eval|system|shell_exec)'

3. 오탐 튜닝 및 주의사항

• 오탐 시나리오: 정상적인 WordPress 관리자 API 호출이나 특정 플러그인의 배치 업데이트 작업이 batch 엔드포인트를 사용할 수 있습니다.
• 튜닝 방법: 내부 신뢰 IP(Admin IP)를 화이트리스트에 추가하고, 요청 바디 내의 실제 SQL 구문 패턴과 author__not_in 파라미터의 결합 여부를 정밀하게 검증하여 탐지 범위를 좁힙니다.

본 건은 EPSS 0.98417(실제 악용 예측 최고 수준) 및 KEV 등재로 인해 'Immediate' 우선순위가 부여되었습니다. 이론적 수치보다 실제 공격 가능성이 매우 높으므로 즉시 대응이 필요합니다.

1. 즉시 (긴급 차단)

• 조치: WAF 또는 웹 서버 설정(Nginx/Apache)을 통해 /wp-json/batch 엔드포인트로의 외부 접근을 일시적으로 전면 차단.
• 난이도: 낮음 / 운영 영향: 높음 (배치 API 사용 플러그인 기능 중단 가능성) / 검증: 해당 URL 호출 시 403 Forbidden 확인.

2. 단기 (완화)

• 조치: author__not_in 파라미터에 대한 입력값 검증(정규식 기반 화이트리스트) 규칙을 WAF에 적용하고, REST API Nonce 검증 강제화 설정.
• 난이도: 중간 / 운영 영향: 낮음 (정상 요청은 통과) / 검증: 조작된 SQL 페이로드 전송 시 WAF에서 차단되는지 확인.

3. 근본 (해결)

• 조치: WordPress 버전을 패치 버전(6.9.5 이상 또는 7.0.2 이상)으로 업데이트.
• 난이도: 중간 / 운영 영향: 낮음 (업데이트 후 서비스 재시작 필요) / 검증: wp version 명령어로 최신 버전 적용 확인.

잔여 리스크: 패치 이후에도 동일한 패턴의 Route Confusion을 이용한 다른 엔드포인트 우회 가능성이 존재할 수 있으므로, 지속적인 API 트래픽 모니터링이 필요합니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.98417 · exploit=easy · in_scope=None