WordPress가 2026년 10월 28일(현지 시간) 보안 릴리스 7.1.4를 공개했습니다. 이번 릴리스는 코어 업데이트 과정에서 원격 코드 실행으로 이어질 수 있는 결함과 블록 편집기·인터랙티비티 API의 저장형 XSS 등 모두 22건의 취약점을 고쳤습니다. 같은 수정은 4.7 계열까지 구 버전에도 함께 배포됐고, WordPress 팀은 사이트를 즉시 업데이트하라고 권고했습니다.
핵심 요약
- WordPress 7.1.4는 2026년 10월 28일 공개된 보안 전용 릴리스로, 22건의 취약점을 수정했습니다.
- 코어 업데이트 중 경쟁 조건(race condition)으로 원격 코드 실행이 가능한 결함과 인터랙티비티 API·커스터마이저·블록의 저장형 XSS 다수가 포함됐습니다.
- 수정은 7.0.8, 6.9.11, 6.8.12부터 4.7.39까지 구 버전 계열에 백포트됐으며, 4.6 이하는 더 이상 보안 업데이트를 받지 못합니다.
- 번들 루트 인증서도 eMudhra 인증서 폐기에 맞춰 갱신됐고, 다음 주요 버전 7.2는 12월 8일 공개 예정입니다.
무슨 일이 있었나
WordPress 프로젝트는 2026년 10월 28일 WordPress 7.1.4를 공개했습니다. 공식 공지는 이 버전을 여러 보안 문제를 고친 보안 릴리스로 소개하면서, 보안 릴리스이므로 사이트를 즉시 업데이트할 것을 권고했습니다. 자동 백그라운드 업데이트를 지원하는 사이트는 업데이트가 자동으로 시작되고, 그렇지 않은 사이트는 대시보드의 '업데이트' 메뉴에서 직접 적용하면 됩니다.
공식 버전 문서(HelpHub)에 정리된 수정 항목은 모두 22건입니다. 가장 눈에 띄는 것은 코어 업데이트 중 경쟁 조건(race condition, 두 작업이 동시에 실행될 때 순서에 따라 결과가 달라지는 결함)으로 원격 코드 실행이 가능해지는 문제입니다. 공지에서는 이를 업그레이드 과정의 약점으로 설명하며, 업그레이드가 진행되는 시간 창 안에서 원격 코드 실행으로 이어질 수 있다고 밝혔습니다.
나머지 대부분은 저장형 XSS(cross-site scripting, 공격 스크립트를 콘텐츠에 심어 다른 사용자의 브라우저에서 실행시키는 공격)입니다. 블록 구분자의 공백, 인터랙티비티 API 바인딩의 javascript: URL과 이벤트 핸들러, 커스터마이저 선택적 새로고침, 댓글 페이지네이션·글 내비게이션 링크 블록의 라벨, 카테고리 블록의 포맷 문자열, 개인정보 삭제 요청 화면, 멀티사이트 사용자 목록의 사용자명 등 여러 경로가 고쳐졌습니다. 이 밖에 공개되지 않은 커스터마이저 변경 사항이 비로그인 방문자에게 노출되는 정보 유출, 댓글 관리 권한만 있는 역할이 편집 권한 없는 글의 노트를 읽고 지울 수 있던 권한 문제, 인터랙티비티 API의 서비스 거부(DoS) 문제도 포함됐습니다.
보안과 직접 관련은 없지만 중요한 항목으로, 번들된 루트 인증서 목록이 eMudhra 인증서 폐기에 맞춰 갱신됐습니다. WordPress가 외부 서버와 HTTPS로 통신할 때 쓰는 신뢰 인증서 목록이 바뀐 것입니다.
WordPress 팀은 이번 수정을 보안 수정을 받을 수 있는 모든 계열(현재 4.7까지)에 백포트했습니다. 7.0은 22건 모두의 영향을 받아 7.0.8이, 6.9는 6.9.11이 나왔고 6.8은 22건 중 20건의 영향을 받아 6.8.12가 나왔습니다. 5.9 계열은 9건, 4.7 계열은 2건의 영향을 받았으며 각각 5.9.20과 4.7.39가 공개됐습니다. 4.6 이하는 더 이상 보안 업데이트를 받지 못합니다. 또 7.1.4는 짧은 주기 릴리스이며, 다음 주요 버전 7.2는 12월 8일 공개가 예정돼 있고 모든 수정을 반영한 7.2 베타 3도 함께 나왔습니다.
왜 중요한가
이번 릴리스는 수정 건수가 22건으로 많고, 업데이트 과정 자체에서 원격 코드 실행이 가능하다는 점에서 가볍게 볼 수 없습니다. 원격 코드 실행은 공격자가 서버에서 임의의 명령을 실행할 수 있다는 뜻으로, 사이트 변조나 데이터 유출로 이어질 수 있는 가장 심각한 유형의 결함입니다. 수정 파일 목록에도 업그레이더와 코어 업데이트 모듈이 포함돼 있습니다.
저장형 XSS 항목 상당수가 기여자(Contributor) 이상 권한이 있으면 악용할 수 있는 문제라는 점도 눈여겨볼 대목입니다. 외부 필진, 부서별 담당자, 협력 업체 등 여러 사람이 글을 쓰는 기관·기업 사이트라면 내부 계정이 공격 경로가 될 수 있습니다.
WordPress 코어만 최신이면 안전한 것도 아닙니다. 2026년 10월 21일에는 PHP 런타임 자체의 심각한 취약점 두 건(CVE-2026-109618, CVE-2026-109619)이 공개됐습니다. 두 결함 모두 CVSS 기본 점수 9.2의 심각(Critical) 등급이며, PHP 5.4부터 8.5.11까지 영향을 받고 8.5.12, 8.4.27, 8.3.36, 8.2.35에서 수정됐습니다. PHP 8.1 이하는 지원이 끝나 수정판이 나오지 않습니다. CMS와 그 아래 언어 런타임을 함께 점검해야 하는 이유입니다.
구 버전 계열에 수정이 백포트됐다고 해서 구 버전을 계속 써도 된다는 뜻은 아닙니다. WordPress는 공식적으로 최신 버전만 적극 지원한다고 거듭 밝히고 있으며, 백포트는 편의상 제공되는 것입니다. 오래된 계열에 머물수록 플러그인·테마 호환성 문제가 누적되고, 어느 시점에는 백포트 대상에서도 빠지게 됩니다.
기관·기업 홈페이지 담당자가 볼 점
WordPress로 운영 중인 홈페이지가 있다면 지금 대시보드에서 버전을 확인하는 것이 첫 번째입니다. 7.1.4, 7.0.8, 6.9.11처럼 10월 28일 이후 나온 버전이 아니면 업데이트가 필요합니다. 자동 업데이트가 꺼져 있거나 호스팅 업체가 관리하는 경우에는 실제로 적용됐는지 별도로 확인해야 합니다.
업데이트 과정의 결함이 고쳐진 만큼, 이번 업데이트는 접속이 적은 시간대에 백업을 먼저 받은 뒤 한 번에 끝내는 편이 안전합니다. 업데이트 뒤에는 로그인, 글 작성, 첨부파일 업로드, 문의 폼 같은 핵심 기능을 한 번씩 눌러 보고 오류가 없는지 확인합니다.
서버의 PHP 버전도 같이 봐야 합니다. phpinfo나 호스팅 관리 화면에서 PHP 버전을 확인하고 8.2.35, 8.3.36, 8.4.27, 8.5.12 이상인지 봅니다. 8.1 이하를 쓰고 있다면 수정판이 없으므로 지원 중인 버전으로의 업그레이드 계획을 세워야 합니다.
사이트에 글을 올릴 수 있는 계정이 몇 개인지, 퇴사자나 종료된 협력 업체의 계정이 남아 있지는 않은지 함께 점검하면 좋습니다. 이번 릴리스에서 고쳐진 XSS 상당수가 기여자 권한에서 시작되는 문제이기 때문에, 불필요한 계정을 정리하고 역할을 최소 권한으로 맞추는 것이 다음 취약점에 대한 대비가 됩니다.
직접 운영하기 어렵다면 CMS 코어·플러그인·PHP 업데이트를 누가, 어떤 주기로 맡는지 역할을 문서로 정해 두는 것이 좋습니다. 보안 릴리스는 예고 없이 나오므로 공지를 받아 볼 창구와 적용 절차를 미리 정해 두면 대응 시간이 크게 줄어듭니다.
- WordPress 대시보드에서 현재 버전을 확인하고, 7.1.4 또는 해당 계열의 10월 28일 이후 버전으로 업데이트합니다.
- 업데이트 전에 파일과 DB를 백업하고, 업데이트 후 로그인·글 작성·업로드·문의 폼을 점검합니다.
- 서버 PHP 버전이 8.2.35, 8.3.36, 8.4.27, 8.5.12 이상인지 확인하고, 8.1 이하라면 업그레이드 일정을 잡습니다.
- 글 작성 권한이 있는 계정 목록을 정리하고 사용하지 않는 계정은 비활성화합니다.
- 플러그인과 테마도 모두 최신 버전인지 확인하고, 쓰지 않는 것은 삭제합니다.
출처
- WordPress 7.1.4 Security Release – WordPress.org News, 2026-10-28
- Version 7.1.4 – WordPress Documentation – WordPress.org HelpHub, 2026-10-28
- 핵심 PHP 취약점 CVE-2026-109618 및 CVE-2026-109619에 대한 대응 방안 – Google Cloud 블로그, 2026-10-22
공개된 자료를 바탕으로 VENOX가 정리한 글입니다. 세부 내용과 최신 변경 사항은 출처 원문을 확인해 주세요.
관련: 홈페이지·CMS 구축 · VENOX CMS · 도입 문의