무슨 일이 있었나
WordPress Core 4.7부터 7.1.3까지 전체 패키지 코어 업그레이드 중 사용되는 예측 가능한 웹 접근 가능 스테이징 경로로 인한 시간 검사-시간 사용(TOCTOU) 경쟁 조건(CWE-367)을 포함합니다. 무인증 공격자는 업그레이드 창구 중 서버에서 코드를 실행할 수 있습니다. CISA는 2026-11-03에 이를 알려진 악용 취약점 카탈로그에 추가했으며 악용 상태는 '활성', 연방 마감일은 2026-11-06(CVSS 8.1)입니다. WordPress 7.1.4에서 패치되었습니다.
왜 중요한가
이것은 오늘의 유일한 CISA KEV 추가 사항입니다 — 무인증 RCE의 확인된 실제 악용. AI 관련성은 간접적이지만 실질적입니다: 많은 AI 애플리케이션이 WordPress 플러그인(AI 채팅, AI 대체 텍스트, AI 엔진 MCP 서버, 에이전트 AI 플러그인) 및 WordPress MCP/에이전트 엔드포인트로 제공되며, 이들은 동일한 코어에서 실행됩니다. 업그레이드 창구 중 코어를 손상시키면 공격자는 해당 AI 표면을 서비스하는 호스트에서 코드 실행을 얻을 수 있으므로, WordPress에서 AI를 실행하는 모든 팀은 2026-11-06 KEV 마감일을 긴급한 것으로 간주하고 가정적 침해로 대처해야 합니다.
공격 경로
무인증 공격자가 코어 업그레이드 창구를 경쟁합니다: 전체 패키지 업그레이드 중 예측 가능한 웹 접근 가능 스테이징 경로가 노출되고 공격자가 TOCTOU에서 승리하여 서버에 코드를 드롭하고 실행합니다.
영향받는 시스템
WordPress Core 4.7.0–7.1.3 (WordPress에서 AI 플러그인 / AI MCP 서버를 실행하는 모든 사이트).
완화 방안
WordPress 7.1.4+로 업그레이드하세요; 업그레이드 중간에 두지 말고 업그레이드 중 스테이징 경로에 대한 웹 접근을 제한하세요; CISA BOD 26-04(2026-11-06 마감)를 따르고 포렌식 트리아지를 수행하세요.