WordPress REST API 경로 혼동 및 SQL 인젝션 연계 원격 코드 실행(RCE) 취약점 (CVE-2026-63030)

1. 공식 보안 패치 적용

가장 확실한 해결책은 WordPress 코어를 최신 보안 패치가 적용된 버전으로 업데이트하는 것입니다.

• WordPress 6.9 계열: 6.9.5 이상으로 업데이트
• WordPress 7.0 계열: 7.0.2 이상으로 업데이트

2. 임시 완화 조치 (WAF 및 설정 우회 차단)

패치 적용이 즉시 어려운 경우, 아래의 완화 조치를 적용하여 공격 위험을 최소화하십시오.

A. REST API 배치 엔드포인트 비활성화

테마의 functions.php 또는 커스텀 플러그인에 아래 코드를 추가하여 REST API 배치(Batch) 엔드포인트 사용을 제한합니다.

add_filter('rest_endpoints', function($endpoints) {
    if (isset($endpoints['/batch/v1'])) {
        unset($endpoints['/batch/v1']);
    }
    return $endpoints;
});

B. 웹 애플리케이션 방화벽(WAF) 규칙 설정

REST API 배치 요청 경로(/wp-json/batch/v1)에 대한 비정상적인 다중 요청 및 SQL 인젝션 패턴(author__not_in 매개변수 악용)을 탐지하고 차단하는 규칙을 WAF에 등록하십시오.

본 취약점은 WordPress REST API의 배치(Batch) 요청 처리 과정에서 발생하는 경로 혼동(Route Confusion, CWE-436) 취약점입니다.

공격자는 배치 엔드포인트를 통해 내부 API 경로를 우회하거나 권한 검증을 우회하여 요청을 전달할 수 있습니다. 이 취약점은 WP_Query 클래스의 author__not_in 매개변수 처리 미흡으로 발생하는 SQL 인젝션 취약점(CVE-2026-60137)과 연계(Chaining)될 수 있습니다.

인증되지 않은 외부 공격자가 이 두 가지 취약점을 결합하여 악용할 경우, 데이터베이스 내의 민감한 정보(관리자 세션, 패스워드 해시 등)를 탈취할 수 있을 뿐만 아니라, 최종적으로 대상 서버에서 임의의 시스템 명령을 실행(RCE)할 수 있는 심각한 위험을 초래합니다. 본 취약점은 실제 공격에 악용되고 있는 것으로 확인되어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되었습니다.