워드프레스 취약점 공개 직후 공격에 악용

공격자는 경로 조작으로 서버의 로컬 PHP 파일을 불러 실행할 수 있다. WordPress는 수정판을 배포했지만, 보안 매체들은 공개 뒤 실제 공격이 시작됐다고 보도했다.

취약점은 페이지 템플릿을 찾는 과정에서 공격자가 지정한 읽을 수 있는 로컬 PHP 파일이 포함될 수 있는 경로 조작 문제다. WordPress는 9월 22일 버전 7.1.2와 지원 중인 다른 브랜치용 수정판을 배포했다. BleepingComputer와 The Hacker News는 공개 직후 이 취약점을 이용한 공격이 시작됐다고 보도했다.

1. 09:00

   WordPress가 취약점 수정판을 배포했다고 The Hacker News가 보도했다.

   WordPress Issues Patch for Critical Flaw That Can Enable Code Execution on Some Servers
2. 09:00

   BleepingComputer가 공격자들의 취약점 악용을 보도했다.

   Hackers start exploiting critical WordPress flaw for code execution
3. 09:00

   The Hacker News와 SecurityWeek가 공개 직후의 실제 악용을 보도했다.

   Attackers Exploit WordPress CVE-2026-87902 Within Hours of Disclosure

• The Hacker NewsElementor CSRF Flaw Lets Attackers Take Over Sites After Admin Clicks Crafted Link9월 26일 18:55
• BleepingComputerShinyHunters hacked Clop leak site using Grav CMS path traversal flaw9월 26일 05:57
• BleepingComputerElementor WordPress flaw lets attackers create admin accounts9월 26일 03:13
• The Hacker NewsRoundcube Pre-Auth SQL Injection Flaw Actively Exploited in the Wild9월 25일 19:14
• SecurityWeekRoundcube Webmail Vulnerability in Attackers’ Crosshairs9월 25일 15:57
• Hacker NewsSourcehut account takeover via build logs (XSS in ansi2html)9월 25일 05:06
• Hacker NewsDiscovering and exploiting a remote code execution vulnerability in OpenCode9월 25일 01:18
• Hacker NewsCVE-2026-91766: PHP had the redirect credential leak curl fixed in 20189월 25일 01:18
• Hacker NewsMistral Vibe Shell Permission Bypass Leading to Arbitrary Code Execution9월 24일 21:23
• SecurityWeekCritical WordPress Vulnerability Exploited Immediately After Disclosure9월 24일 16:12
• The Hacker NewsAttackers Exploit WordPress CVE-2026-87902 Within Hours of Disclosure9월 24일 14:36
• BleepingComputerHackers start exploiting critical WordPress flaw for code execution9월 24일 03:31
• The Hacker NewsNew cPanel Flaw Lets a Hosting Account Run Code as Root, Take Full Server Control9월 23일 21:16
• Hacker NewsNext.js 16.3.6 fixes critical ImageResponse RCE (CVE-2026-94545)9월 23일 19:37
• The Hacker NewsCritical Next.js ImageResponse Flaw Can Lead to Server Code Execution via Crafted SVG Input9월 23일 16:04
• The Hacker NewsWordPress Issues Patch for Critical Flaw That Can Enable Code Execution on Some Servers9월 23일 03:03
• Hacker NewsA WordPress vulnerability scored 9.2/10 is present in all versions since 20169월 23일 01:53
• The Hacker NewsSharePoint Flaw Initially Listed as Spoofing by Microsoft Enables Authenticated RCE9월 22일 20:17
• SecurityWeekWordPress Patches ‘Click2Shell’ Vulnerability9월 22일 19:22
• The Hacker NewsWordPress Comment2Shell Flaw Can Turn Anonymous Comment XSS Into RCE via Admin Session9월 22일 15:03
• BleepingComputerWordPress Click2Shell flaw lets hackers execute PHP on the server9월 22일 03:23