무슨 일이 있었나
CVE-2026-27407 (CVSS 7.2 HIGH) 2026-06-15에 공개됨. AI Engine WordPress plugin (WordPress 사이트에 ChatGPT/LLM 기반 기능 제공)은 Editor 수준의 권한을 가진 사용자가 Administrator로 권한을 상승하여 전체 사이트 제어권을 획득할 수 있도록 함.
왜 중요한가
AI Engine은 WordPress 사이트를 LLM API에 연결하는 인기 있는 plugin. 관리자 권한으로의 권한 상승을 통해 공격자는 저장된 API 키를 유출하고, AI 생성 콘텐츠 파이프라인을 수정하며, 제한된 Editor 계정에서 전체 사이트 제어권을 획득할 수 있음.
공격 경로
Editor 수준의 WordPress 권한을 가진 인증된 사용자가 AI Engine plugin의 권한 상승 결함을 악용하여 더 높은 관리자 액세스 권한을 획득함.
영향받는 시스템
AI Engine WordPress plugin ≤ 3.4.9
완화 방안
AI Engine plugin을 버전 > 3.4.9로 업데이트하세요. Patchstack 공지: https://patchstack.com/database/wordpress/plugin/ai-engine/vulnerability/wordpress-ai-engine-plugin-3-4-9-privilege-escalation-vulnerability