---

📌 개요

CVE-2026-64638은 WordPress 로그인 화면에 영향을 미치는 높은 심각도의 사전 인증 반사형 XSS(교차 사이트 스크립팅) 취약점입니다.

특정 조건에서 이 결함은 서버에서 **원격 코드 실행(RCE)**으로 이어질 수 있으며, 연구원들은 이 체인을 XSS2Shell이라고 부릅니다.

---

🔍 기술 요약

이 취약점은 WordPress가 실패한 로그인 시도의 사용자 이름을 처리하는 방식에 존재합니다.

• 입력은 sanitize_user() 및 wp_strip_all_tags()(PHP의 strip_tags()에 의존)를 통과합니다.
• 이후 wp_kses_post()로 처리하는 과정에서 공백을 포함한 일부 태그 유사 페이로드가 살아남아 실제 DOM 요소가 될 수 있습니다.
• 이러한 요소는 로그인 페이지에 로드된 WordPress 자체 JavaScript(user-profile.js)와 상호 작용합니다.
• 공격자는 REST API / JSONP 동작과 동일 출처(same-origin) 기법을 활용해 공격 범위를 더욱 확장할 수 있습니다.

전체 RCE 경로에는 다음이 필요합니다:

1. 이미 단일 사이트 관리자로 로그인한 피해자
2. 공격자가 제어하는 페이지와의 명시적 상호 작용(일반적으로 한 번의 클릭)
3. 특정 WordPress 기능(애플리케이션 비밀번호, 플러그인 업로드 기능 등)이 갖추어져 있어야 함

⚠️ WordPress는 RCE로의 성공적인 확장이 공격자가 완전히 통제할 수 없는 조건에 따라 달라지며 사회 공학적 접근이 필요하다고 밝혔습니다.

---

📦 영향을 받는 버전 및 패치 버전

• 4.7.0부터 7.0.2까지의 모든 버전이 영향을 받습니다.
• 4.7보다 오래된 버전도 취약하지만 현재 백포트 지원 범위를 벗어납니다.

---

✅ 완화 및 권장 사항

🚨 즉시 업데이트하세요

• WordPress 7.0.3(또는 해당 브랜치의 보안 릴리스)로 업그레이드하세요.
• 자동 백그라운드 업데이트가 활성화된 사이트는 자동으로 수정 버전을 받게 됩니다.
• 보안 강화 플러그인이나 CSP만으로는 완전한 완화가 되지 않으므로 핵심 패치가 반드시 필요합니다.
• 관리자에게 WordPress 대시보드에 로그인한 상태에서 수신자 모르는 링크를 클릭하지 않도록 권고하세요.

---

📎 공식 참고 자료

• GitHub 보안 권고
  GHSA-52p2-r8wf-jcrf

• WordPress 7.0.3 릴리스
  wordpress.org/news/2026/08/wordpress-7-0-3-release/

• 기술 분석
  The Hacker News – 새로운 WordPress 사전 인증 XSS

---