[CVE] CVE-2026-115806 (CVSS 9.8 · CRITICAL) [CWE-502]

핵심 요약

WordPress용 'Prime Mover – Backup and Migration' 플러그인 2.2.1 이하 버전에서 비인증 PHP 객체 주입(Object Injection) 취약점(CVE-2026-115806, CVSS 9.8)이 발견되어 심각한 원격 코드 실행 위험을 초래합니다. 공격자는 표준 댓글 제출 엔드포인트(wp-comments-post.php)를 통해 조작된 직렬화 객체를 주입하고, 관리자가 플러그인의 내보내기 또는 복원 루틴을 실행할 때 해당 객체가 안전하지 않게 역직렬화되어 Property-Oriented Programming(POP) 체인을 통해 임의 코드 실행으로 이어질 수 있습니다. 이는 OWASP Top 10 2021의 A08:2021 – Software and Data Integrity Failures에 해당하며, 특히 신뢰할 수 없는 데이터 역직렬화(CWE-502)가 근본 원인입니다. IT 감사인은 조직 내 WordPress 환경에서 해당 플러그인의 사용 여부와 최신 버전 패치 적용 상태를 즉시 점검하여 잠재적 침해 사고를 예방해야 합니다.

개선 권고안

• ✔기술적 조치조직 내 모든 WordPress 환경에서 'Prime Mover – Backup and Migration' 플러그인의 사용 여부를 즉시 확인하고, 해당 플러그인이 설치되어 있다면 최신 보안 패치 버전으로 업데이트할 것을 권고함.
• ✔기술적 조치웹 애플리케이션 방화벽(WAF) 또는 침입 방지 시스템(IPS)에 PHP 객체 주입 공격 패턴 및 비정상적인 직렬화/역직렬화 시도를 탐지하고 차단하는 규칙을 강화하여 적용해야 함을 권고함.
• ✔기술적 조치WordPress 웹 서버 및 데이터베이스에 대한 접근 제어를 강화하고, 관리자 계정의 비밀번호를 복잡하게 설정하며, 다단계 인증(MFA)을 적용할 것을 권고함.
• ✔관리적 조치모든 웹 애플리케이션 및 플러그인에 대한 정기적인 취약점 점검 및 보안 업데이트 정책을 수립하고, 긴급 취약점 발생 시 신속하게 대응할 수 있는 비상 패치 프로세스를 강화할 것을 권고함.
• ✔관리적 조치개발 및 운영 단계에서 신뢰할 수 없는 입력에 대한 역직렬화(deserialization) 처리 시 `allowed_classes` 제한 등 보안 코딩 가이드라인을 준수하도록 개발자 교육을 강화하고 코드 리뷰 프로세스에 반영할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기