수백만 개의 자선 사이트를 지원하는 WordPress 기부 플러그인인 GiveWP에서 갑작스럽게 치명적인 원격 코드 실행(RCE) 취약점이 발견되었습니다. CVE-2026-82222는 CVSS 점수 10.0 만점을 기록했으며, 인터넷상의 누구나 취약한 서버에서 임의의 명령을 실행할 수 있게 합니다. 수정 버전은 4.16.7.2입니다.

이 버그가 중요한 이유

GiveWP는 수많은 모금 페이지의 핵심 역할을 합니다. 사이트 운영자는 기부자 데이터를 처리하고, 결제를 진행하며, 세션 정보를 저장하기 위해 이 플러그인에 의존합니다. 기본 서버에서 코드를 실행할 수 있는 공격자는 자격 증명을 훔치거나, 사이트를 변조하거나, 네트워크의 다른 부분으로 침투(pivot)할 수 있습니다. 이 취약점은 로그인 없이도 작동하기 때문에 전체 공개 인터넷이 공격 대상이 됩니다.

취약점 공격 방식

이 결함은 단일 코딩 오류가 아니라, 세 가지 별개의 문제가 결합되어 백도어를 여는 체인 형태입니다.

  1. 안전하지 않은 역직렬화(Unsafe deserialization) – 플러그인의 헬퍼 함수인 safeUnserialize는 직렬화된 객체를 제거하는 대신 플레이스홀더로 변환하여 원래의 객체 데이터를 그대로 남겨둡니다.
  2. 블라인드 재역직렬화(Blind re-deserialization) – 데이터베이스에서 가져온 데이터가 검증 없이 unserialize로 다시 전달되어, 조작된 객체가 다시 살아날 수 있습니다.
  3. TCPDF 가젯 체인(TCPDF gadget chain) – GiveWP에는 TCPDF PDF 생성 라이브러리가 포함되어 있는데, 여기에는 악성 객체가 역직렬화될 때 시스템 명령을 호출할 수 있는 클래스 체인이 포함되어 있습니다.

공격자는 사전 계정 없이도 다음과 같은 4단계 흐름을 따릅니다.

  • 등록(Registration) – user_register 액션에 후킹하여, 사이트 등록 기능이 비활성화되어 있더라도 WordPress 사용자를 생성합니다.
  • 심기(Planting) – 공격자는 새 프로필의 last_name 필드에 직렬화된 페이로드를 저장합니다.
  • 오염(Poisoning) – 기부 제출 시 플러그인이 해당 페이로드를 wp_give_sessions 테이블에 쓰도록 강제합니다.
  • 실행(Execution) – 이후 공개 페이지에서 세션을 읽을 때 악성 객체가 역직렬화되고, TCPDF 가젯 체인이 작동하여 공격자가 제공한 명령이 서버에서 실행됩니다.

패치 내용

GiveWP 개발자들은 모든 연결 고리를 끊기 위해 버전 4.16.7.2를 출시했습니다.

  • 직렬화된 데이터를 포함하는 기부는 즉시 거부됩니다.
  • 모든 데이터 읽기 함수에 엄격한 유형 및 콘텐츠 검사가 적용됩니다.
  • TCPDF 가젯 체인이 명시적으로 차단되어 승인되지 않은 메서드 호출을 방지합니다.
  • last_name을 포함한 메타 필드는 저장 전에 정화(sanitization)됩니다.
  • 기존의 악성 페이로드를 제거하기 위해 데이터베이스 마이그레이션이 자동으로 실행됩니다.

플러그인을 업데이트하는 것이 첫 번째 단계입니다. 데이터베이스에 이미 남아 있는 페이로드를 제거하기 위해 정화 마이그레이션이 실행되었는지 반드시 확인해야 합니다.

위험 대상

등록 기능 활성화 여부와 관계없이 GiveWP 4.16.7.1 이하 버전을 사용하는 모든 WordPress 사이트가 취약합니다. 대형 비영리 단체, 소규모 자선 단체, 개인 모금 페이지 모두 피해를 입을 수 있습니다. 이 공격은 특정 서버 구성에 의존하지 않습니다. 번들로 포함된 TCPDF 라이브러리를 지원하는 모든 PHP 환경이 취약할 수 있습니다.

반론

일부 사이트 운영자는 공격을 위해 기부자가 결제를 제출해야 하므로 발생 확률이 낮다고 주장합니다. 하지만 이 취약점은 그 가설이 틀렸음을 보여줍니다. 악성 페이로드는 기부 단계에서 저장되지만, 실행은 결제 완료 여부와 상관없이 이후의 어떤 페이지 로드 시점에서도 발생할 수 있습니다. 인증이 필요 없는 특성과 CVSS 점수 10.0을 고려할 때, 이를 단순한 이론적 우려로 치부하기에는 위험이 너무 높습니다.

결론

GiveWP의 CVE-2026-82222는 겉보기에 무해해 보이는 일련의 코딩 편의 기능이 어떻게 치명적인 보안 침해로 이어질 수 있는지를 보여줍니다. 해결책은 준비되었습니다. 사이트 운영자는 즉시 4.16.7.2로 업그레이드하고, 마이그레이션이 기존 페이로드를 제거했는지 확인하며, 공격 후 활동의 흔적이 있는지 로그를 모니터링해야 합니다. 패치를 무시하면 자선 단체의 웹 서비스와 기부자 데이터가 서버 제어권을 완전히 탈취한 공격자에게 노출될 수 있습니다.