워드프레스 ‘Super Forms·Elementor Pro’ 원격 코드 실행 취약점에 44만 건 이상 공격 시도
- 워드프레스 보안업체 워드펜스는 플러그인 Super Forms와 Elementor Pro에서 임의 파일 업로드 취약점이 악용돼 PHP 웹셸이 설치되고 관리자 계정 생성과 데이터 탈취, 사이트 장악으로 이어질 수 있다고 경고했다.
- CVE-2026-14894 악용 공격은 ‘/wp-admin/admin-ajax.php’에 ‘super_submit_form’ 엔드포인트를 사용해 Base64 인코딩된 Mushr00w_upl.php 웹셸을 업로드하고, 이를 통해 추가 악성 파일을 연속 업로드하는 구조로 워드프레스 서버를 점진적으로 지배한다.
- CVE-2026-32475는 Elementor 페이지의 Form 위젯 파일 업로드 필드를 배열로 조작해 첫 요소를 비우고 둘째 요소에 .php 확장자의 페이로드를 담아 검증을 우회하며, 업로드된 PHP 파일을 ‘/wp-content/uploads/elementor/forms/’ 경로에 랜덤 파일명으로 저장해 직접 호출 가능한 명령 실행 거점을 만든다.
- 워드펜스는 Super Forms 취약점 CVE-2026-14894에 대한 공격을 250,000건 이상, Elementor Pro 취약점 CVE-2026-32475에 대한 공격을 190,000건 이상 차단했으며, Super Forms를 노린 악성 활동은 2026년 7월 14일에 시작돼 8월 18일 하루에만 40,000건을 넘는 공격 요청이 관측되는 등 대규모 자동화 공격 양상을 보이고 있다.
- Super Forms와 Elementor Pro는 중소 사이트와 개인 운영 블로그에서 널리 사용되는 워드프레스 폼·페이지 플러그인으로, PHP 웹셸이 설치되면 광고 수익 탈취, 악성코드 유포, 계정 정보 수집 등 비즈니스 모델 전체가 공격자에 의해 재구성될 수 있어 글로벌 디지털 콘텐츠 생태계 전반의 공급망 리스크로 확산될 가능성이 크다.
- 이번 대량 공격은 취약한 워드프레스 플러그인이 전 세계 중소 웹사이트와 기업 홈페이지를 동시에 노리는 공격 기반이 될 수 있음을 보여주며, 한국에서는 공공·중소기업 홈페이지의 워드프레스 사용 현황 파악과 플러그인 패치 의무화, .php 파일 이상 탐지 정책을 통해 웹 서비스 보안 수준을 체계적으로 끌어올릴 필요가 있다.
워드프레스 기반 웹 자산을 사용하는 공공·중소기관을 전수 조사해 Super Forms·Elementor Pro 사용 여부와 패치 상태를 점검하고, 중앙에서 취약 플러그인 목록과 웹셸 탐지 기준을 배포하는 한편, 침해사고 발생 시 공용 대응 매뉴얼을 마련하는 것이 시급하다.
주요 용어: 원격 코드 실행(RCE, 공격자가 서버에서 임의 명령을 실행하는 취약점), 웹셸(공격자가 웹 서버를 원격 제어하는 악성 스크립트)
출처: The Hacker News