WordPress Core get_page_template() 로컬 파일 포함(LFI) 및 원격 코드 실행(RCE) 취약점 (CVE-2026-87902)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTWordPress Core 특정 버전 및 활성화된 테마 환경을 사용하는 모든 웹사이트
인증되지 않은 공격자가 서버 내 임의의 PHP 파일을 실행하여 시스템 권한 탈취 및 데이터 유출 가능
WordPress 보안 패치 즉시 적용 및 WAF를 통한 디렉토리 트래버스 공격 차단
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND- WordPress 업데이트: 관리자 대시보드 또는 WP-CLI를 통해 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
wp core update- WAF(웹 방화벽) 설정:
page_template파라미터나 쿼리 스트링에../와 같은 디렉토리 트래버스 패턴이 포함된 요청을 차단하는 규칙을 적용하십시오. - 파일 시스템 권한 강화: 웹 서버 사용자가 접근할 수 있는 디렉토리를 최소화하고, 업로드 디렉토리 내 PHP 실행 권한을 제거하십시오.
코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
본 취약점은 WordPress의 get_page_template() 함수가 페이지 템플릿 경로를 결정하는 과정에서 입력값에 대한 적절한 검증을 수행하지 않아 발생합니다. 공격자는 특수하게 조작된 요청을 통해 활성 테마 디렉토리 외부의 읽기 가능한 .php 파일을 포함(Include)시킬 수 있는 CWE-98(PHP File Inclusion) 취약점을 악용합니다. 특히 서버 내에 공격자가 업로드한 파일이나 로그 파일 등 제어 가능한 PHP 코드가 존재할 경우, 이를 실행시켜 원격 코드 실행(RCE)으로 이어질 수 있습니다. 현재 CISA KEV에 등재되어 실제 공격이 활발히 진행 중인 것으로 확인되었습니다.
공식 보안 권고문 및 참조 링크
An unauthenticated attacker can make `get_page_template()` page-template resolution include a chosen readable local `.php` file outside the active theme directories. If relevant pre-conditions for both the server and the active theme are met, this can lead to RCE.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.