웹 템플릿 취약점 CVE-2026-87902, 왜 갱신이 급할까?

핵심 답변

CVE-2026-87902는 웹사이트 제작에 널리 쓰이는 오픈소스 콘텐츠 관리 시스템인 워드프레스 코어(WordPress Core)의 페이지 템플릿 처리 과정에서 확인된 심각도 긴급 등급의 보안 취약점입니다. 로그인하지 않은 외부인이 조작된 주소 요청을 보내 활성 테마 폴더 바깥에 존재하는 로컬 PHP 파일을 강제로 불러올 수 있으며, 서버와 테마 조건이 맞물리면 원격 코드 실행(RCE)으로 이어질 수 있습니다. 미국 사이버보안 및 인프라 보안국(CISA)이 실제 공격 악용 사실을 확인해 실제 악용 취약점 목록(KEV)에 등재하고 2026년 9월 28일을 조치 기한으로 지정한 만큼, 홈페이지 관리자는 7.1.2 버전 등 각 브랜치의 최신 보안 패치가 적용되었는지 즉시 확인해야 합니다.

엔터티와 적용 범위

이번 보안 권고의 핵심 대상인 CVE-2026-87902는 플러그인이나 외부 애드온이 아니라 웹사이트 본체 엔진(WordPress Core 4.7 버전부터 7.1.1 버전까지)의 페이지 템플릿 탐색 함수(get_page_template())에서 발생한 결함입니다. 워드프레스 코어는 기업 홍보 홈페이지, 병원·법무법인 상담 사이트, 온라인 매거진, 예약 플랫폼 등 업종을 가리지 않고 가장 폭넓게 활용되는 웹 출판 엔진입니다. 보안 연구원 로버트 레슬(Robert Ressl)이 제보해 2026년 9월 22일 공식 보안 릴리스(7.1.2)가 배포되었으나, 자동 업데이트가 꺼져 있거나 외주 제작 후 유지보수가 중단된 중소기업 사이트는 여전히 구버전에 머물러 있을 가능성이 높아 관리자 대시보드에서 직접 코어 버전을 대조해 보아야 합니다.

외주 제작 후 방치된 홈페이지, 왜 본체 템플릿 결함이 위험할까

중소기업이나 로컬 매장 대표님들이 홈페이지를 운영하면서 흔히 겪는 어려움 중 하나는 사이트 제작 납품을 받은 뒤 관리자 화면에 거의 접속하지 않는다는 점입니다. 디자인이 깨지거나 결제·상담 폼이 멈출까 봐 업데이트 알림이 떠도 그대로 두거나, 보안 문제는 유료 플러그인에서나 생긴다고 생각하기 쉽습니다. 하지만 이번 CVE-2026-87902 사례는 부가 기능인 플러그인이 아니라 웹사이트를 움직이는 심장부인 코어(WordPress Core) 자체에서 발견된 결함이라는 점에서 각별한 주의가 필요합니다.

먼저 CVE-2026-87902가 정확히 무엇인지 짚어보겠습니다. 이 취약점은 웹사이트가 방문자에게 보여줄 화면 틀(페이지 템플릿)을 찾아 불러오는 핵심 함수인 get_page_template() 처리 과정에서 경로 검증이 미흡해 발생한 경로 조작(Path Traversal) 및 로컬 파일 포함(LFI) 취약점입니다. 보안 연구원 로버트 레슬(Robert Ressl)이 발견해 제보했으며, 2026년 9월 22일 WordPress.org 공식 보안 릴리스 발표와 2026년 9월 25일 미국 국립표준기술연구소(NIST NVD) 등록을 통해 상세 내용이 공개되었습니다.

쉬운 말로 비유하면 홈페이지가 지정된 디자인 서랍장(활성 테마 폴더) 안에서만 화면 양식을 꺼내와야 하는데, 외부 방문자가 주소창 매개변수에 특수하게 인코딩된 상위 폴더 이동 경로를 섞어 보내면 서랍장 바깥의 서버 내부 폴더에 있는 다른 PHP 실행 파일을 화면 양식인 것처럼 읽어들여 실행하게 되는 구조입니다. 무엇보다 관리자나 회원으로 로그인하지 않은 상태(미인증 상태)에서도 외부 요청만으로 시도가 가능하다는 점이 위험도를 높입니다.

미국 국립표준기술연구소(NIST NVD)와 WordPress.org 발표 기준, 서버 환경과 현재 사용 중인 활성 테마의 사전 조건이 충족될 경우 단순 파일 열람을 넘어 원격 코드 실행(RCE)으로 이어질 수 있습니다. 원격 코드 실행이 발생하면 웹 서버 권한으로 악성 스크립트가 심어지거나 고객 문의 데이터베이스가 노출될 우려가 있으므로, 외부에 공개된 모든 사이트는 본체 엔진의 패치 여부를 지체 없이 점검해야 합니다.

출처: Known 공식 보도자료 / CVE-2026-87902 페이지 템플릿 패치 캠페인 스틸컷 (WordPress.org 보도 인용, 저작권법 제28조 공정인용)

우리 회사 홈페이지도 해당될까, 영향받는 버전과 취약 조건 확인법

우리 회사 홈페이지가 이번 취약점의 영향권에 들어 있는지 확인하려면 가장 먼저 사이트 제작 도구와 현재 구동 중인 코어 버전을 살펴보아야 합니다. Help Net Security와 WordPress.org 공식 발표 기준, CVE-2026-87902의 영향을 받는 범위는 WordPress Core 4.7 버전부터 7.1.1 버전까지입니다. 최신 7.1 계열뿐만 아니라 수년 전에 제작되어 운영 중인 하위 버전 사이트까지 폭넓게 포함되기 때문에 오래전에 홈페이지를 구축한 기업일수록 점검 대상에 해당될 가능성이 큽니다.

특히 원격 코드 실행으로 이어지는 세부 조건을 보면 중소기업이나 기관 사이트에서 흔히 쓰는 환경이 포함됩니다. Wordfence 발표 기준, 활성화된 부모 테마나 자식 테마 최상위 경로에 page-로 시작하는 폴더(예: page-templates)가 존재하고, 서버 내에 웹 서버 계정이 읽을 수 있는 로컬 PHP 파일이 존재하는 환경에서 위험이 현실화될 수 있습니다. 널리 쓰이는 기본 테마나 상용 기업형 테마 상당수가 페이지 템플릿 관리용 폴더를 별도로 두고 있어 우리 사이트는 괜찮겠지라고 단정하기 어렵습니다.

일반 소상공인과 중소기업 중에서는 브랜드 소개 홈페이지, 병원·의원 진료 안내 사이트, 법률·세무 상담 홈페이지, 예약 및 문의 폼을 운영하는 로컬 비즈니스 사이트가 대표적인 점검 대상입니다. 제작 당시 외주 에이전시가 작업 편의를 위해 코어 자동 업데이트 기능을 꺼두었거나, 서버 호스팅 환경에서 파일 쓰기 권한을 제한해 자동 패치가 실패한 채 멈춰 있는 사례가 빈번하기 때문입니다.

확인 방법은 간단합니다. 홈페이지 관리자 주소(/wp-admin)로 로그인한 뒤 왼쪽 메뉴의 알림판 아래 업데이트 항목으로 들어가면 현재 설치된 워드프레스 버전 숫자를 바로 볼 수 있습니다. 만약 7.1.1 이하로 표시되거나 각 하위 브랜치의 2026년 9월 22일 자 보안 패치 버전보다 낮은 숫자가 적혀 있다면 즉시 업데이트 대상에 해당합니다.

출처: Known 공식 보도자료 / CVE-2026-87902 페이지 템플릿 패치 캠페인 스틸컷 (WordPress.org 보도 인용, 저작권법 제28조 공정인용)

CISA 실제 악용 취약점 목록 등재가 의미하는 현장 위험 신호

보안 취약점이 발표될 때마다 모든 항목이 당장 현장 공격에 쓰이는 것은 아니지만, CVE-2026-87902는 이미 실제 악용이 확인된 사례라는 점에서 무게감이 다릅니다. 하얀모자시큐리티 오늘의 보안 취약점 데이터 및 미국 사이버보안 및 인프라 보안국(CISA) 발표 기준, 해당 결함은 2026년 9월 25일 공개된 직후 실제 공격에 악용된 사실이 확인되어 CISA의 실제 악용 취약점 목록(KEV, Known Exploited Vulnerabilities Catalog)에 공식 등재되었습니다.

CISA KEV 목록은 이론적인 가능성에만 머무는 결함이 아니라, 실제 인터넷 공간에서 공격자들이 자동화 도구나 악성 요청을 통해 시스템을 노리고 있다는 구체적인 증거가 확보되었을 때만 등록되는 경보 체계입니다. CISA는 연방 기관을 대상으로 2026년 9월 28일까지 패치를 완료하도록 조치 기한을 부여했으며, 민간 기업과 웹사이트 운영자에게도 동일한 수준의 신속한 패치 적용을 권고하고 있습니다.

또한 Help Net Security 등 해외 보안 매체와 위협 인텔리전스 보고에 따르면, 보안 패치가 공개된 직후 패치 내역을 역분석한 자동화 스캐닝 시도가 빠르게 관측되었습니다. 공격자들은 특정 기업의 규모를 가려서 공격하기보다 인터넷에 열려 있는 수많은 사이트에 무작위로 탐색 요청을 보내 아직 7.1.2 보안 패치를 적용하지 않은 사이트를 찾아내는 방식을 주로 사용합니다.

따라서 우리 회사는 소규모 업체라 해커의 표적이 되지 않을 것이라는 생각은 위험할 수 있습니다. 패치가 안 된 중소기업 사이트는 피싱 페이지 경유지나 검색엔진 스팸 링크 삽입 숙주로 악용되기 쉽고, 한 번 악성 스크립트가 심어지면 포털 검색 노출에서 제외되거나 방문자 브라우저에 위험 사이트 경고가 떠 브랜드 신뢰도에 큰 타격을 입게 됩니다.

출처: Known 공식 보도자료 / CVE-2026-87902 페이지 템플릿 패치 캠페인 스틸컷 (WordPress.org 보도 인용, 저작권법 제28조 공정인용)

오늘 당장 실행하는 보안 업데이트 절차와 임시 방어 체크리스트

홈페이지 운영자가 지금 바로 실행해야 할 첫 번째 조치는 코어 버전을 공식 보안 패치가 반영된 버전으로 올리는 것입니다. WordPress.org 발표 기준, 최신 브랜치 사용자는 7.1.2 이상 버전으로 즉시 업데이트해야 하며, 플러그인 호환성 문제로 하위 메이저 버전을 유지 중인 사이트라도 4.7 이후 각 브랜치별로 백포트(하위 버전용 보안 수정 반영)된 최신 마이너 보안 릴리스를 적용하면 동일한 결함을 해결할 수 있습니다.

업데이트를 진행하기 전에는 혹시 모를 화면 깨짐이나 테마 충돌에 대비해 데이터베이스와 홈페이지 파일 전체를 먼저 백업해 두는 것이 안전합니다. 카페24, 가비아, AWS 라이트세일 등 이용 중인 웹호스팅이나 클라우드 관리 콘솔에서 스냅샷 백업을 실행한 뒤, 워드프레스 관리자 화면의 업데이트 메뉴에서 지금 업데이트 버튼을 눌러 코어 갱신을 완료하고 메인 화면과 문의 접수 폼이 정상 작동하는지 점검하세요.

만약 외주 개발사가 커스텀 테마를 직접 수정해 두어 당장 코어 버전을 올리기 어려운 상황이라면, 패치 전까지 피해 가능성을 낮추는 임시 보호 조치를 병행해야 합니다. 첫째, 웹 애플리케이션 방화벽(WAF)이나 클라우드플레어(Cloudflare) 같은 앞단 보안 서비스를 활성화해 주소 매개변수에 비정상적인 상위 경로 이동 문자열이나 인코딩 패턴이 포함된 요청을 차단하도록 규칙을 설정합니다.

둘째, 활성 테마 폴더 내부에 실제로 사용하지 않는 임시 템플릿 폴더(page- 접두사 디렉터리 등)가 남아 있는지 개발 담당자와 확인해 정리하고, 웹 서버의 PHP 설정에서 외부 명령줄 인자 등록 옵션(register_argc_argv)이 불필요하게 켜져 있다면 비활성화하는 것이 유리합니다. 셋째, 향후 보안 마이너 릴리스가 나올 때 놓치지 않도록 코어 마이너 자동 업데이트 설정을 켜두어 방어 공백을 줄여야 합니다.

출처: GitHub Security Advisories 공식 보안 권고문 화면 갈무리 (저작권법 제28조 공정인용)

외부 점검을 맡길 때 확인할 기준과 하얀모자시큐리티 무료 보안 점검 안내

사내에 전담 개발자나 서버 관리자가 없는 중소기업·소상공인이라면 보안 점검이나 유지보수를 외부 전문가에게 맡기게 됩니다. 이때 단순히 화면이 잘 열리는지만 보는 업체가 아니라, 코어 엔진과 테마·플러그인의 버전 이력, 서버 PHP 환경 설정, 관리자 계정 접근 통제, 백업 복구 체계를 함께 살펴보는 곳인지 확인해야 합니다. 아래 체크리스트를 기준으로 현재 홈페이지 관리 상태를 점검해 보시기 바랍니다.

• 관리자 알림판에서 워드프레스 코어 버전이 7.1.2 이상(또는 각 브랜치 최신 보안 패치 버전)으로 갱신되어 있는가
• 코어 업데이트 전 데이터베이스와 웹 서버 파일의 분리 백업 및 복원 절차가 마련되어 있는가
• 활성 테마 내 불필요한 템플릿 폴더와 미사용 플러그인이 정리되어 있는가
• 웹 방화벽(WAF)이나 비정상 경로 탐색 요청 차단 정책이 앞단에 적용되어 있는가
• 보안 패치 이후 검색엔진 색인 상태와 고객 문의 폼 작동 여부를 정기적으로 점검하는가

홈페이지 보안과 꾸준한 마케팅 운영이 함께 가야 하는 이유는 명확합니다. 정성 들여 작성한 블로그 글과 숏폼 영상, 상세페이지 콘텐츠는 웹에 계속 쌓여 자산으로 남고, 고객이 필요한 순간 검색할 때 그 콘텐츠가 눈에 띄어 실제 상담 문의와 매출로 이어지는데, 그 도착지인 홈페이지가 보안 결함으로 멈추거나 경고 창이 뜨면 애써 모은 고객을 문앞에서 놓치게 되기 때문에 홈페이지 점검과 마케팅은 미룰 이유가 없습니다.

하얀모자마케팅의 보안 전담 조직인 하얀모자시큐리티에서는 사내 개발 인력이 부족한 대표님들을 위해 무료 보안 점검을 지원하고 있습니다. 현재 운영 중인 홈페이지의 코어 및 구성 요소가 CVE-2026-87902 등 주요 실제 악용 취약점 영향 버전에 해당하는지, 외부에 불필요하게 노출된 관리자 경로와 서버 설정 위험 요소는 없는지, 백업과 업데이트 체계가 제대로 작동하는지 서술형 진단 리포트로 알기 쉽게 짚어 드립니다. 아울러 하얀모자마케팅은 홈페이지 제작, 검색 노출(SEO/AEO/GEO), 블로그 관리, 숏폼 제작, SNS 운영, 체험단 마케팅, 월 정액 통합 패키지까지 기업 성장을 돕는 서비스를 계약 전 무료 시안과 함께 제공하고 있으니, 점검이나 시안이 필요하신 분은 텔레그램(t.me/jyongchul) 또는 문자(010-9333-2028)로 편하게 남겨 주시기 바랍니다.

출처: 미국 사이버보안 및 인프라 보안국(CISA) 공식 보안 권고문 화면 갈무리 (저작권법 제28조 공정인용)

계약 전 무료 시안 상담: 결과물 방향을 먼저 확인하세요

하얀모자마케팅은 계약 전에 결과물 방향을 먼저 보여드립니다. 확인하신 뒤 진행 여부를 결정하시면 됩니다.

1. 계약 전 무료 시안 상담: 귀사의 업종과 목표에 맞춘 웹·앱 화면 시안을 계약 전에 먼저 보여드립니다.
2. 계약금 50% / 잔금 50% 정산: 착수 시 계약금 50%, 개발 완료와 기능 검수 후 잔금 50%를 정산합니다.
3. 대표 직접 총괄: Harvard University Alumni 이종철 대표가 기획부터 검수까지 직접 챙깁니다.
4. 상담 경로: 텔레그램 1:1 상담으로 상호와 준비 중인 프로젝트를 알려 주시거나, 궁금하신 점은 언제든 010-9333-2028로 편하게 문자 주세요.

자주 묻는 질문

CVE-2026-87902 취약점은 유료 플러그인을 쓰지 않는 기본 홈페이지도 영향을 받나요?

네, 영향을 받습니다. 이번 결함은 별도로 설치하는 플러그인이 아니라 웹사이트 본체인 워드프레스 코어(4.7 버전부터 7.1.1 버전까지)의 페이지 템플릿 처리 함수에서 확인된 취약점이므로, 기본 기능만 사용하는 홈페이지라도 코어 버전을 7.1.2 등 최신 보안 릴리스로 업데이트해야 합니다.

해커가 관리자 아이디와 비밀번호를 몰라도 공격을 시도할 수 있나요?

미국 국립표준기술연구소(NIST NVD)와 WordPress.org 발표 기준, CVE-2026-87902는 로그인 인증이 필요 없는 미인증 취약점입니다. 외부 방문자가 접근할 수 있는 페이지 요청 경로를 조작해 시도할 수 있으므로 관리자 비밀번호 복잡도와 무관하게 보안 패치를 적용해야 합니다.

업데이트를 누르면 기존 홈페이지 디자인이나 문의 게시판이 깨질까 봐 걱정됩니다.?

메이저 버전 업그레이드가 아닌 7.1.1에서 7.1.2로의 마이너 보안 릴리스는 보안 결함 수정에 초점을 맞추어 배포되므로 호환성 문제가 적습니다. 다만 커스텀 제작 사이트라면 호스팅 관리 콘솔에서 데이터베이스와 파일 전체 백업을 먼저 수행한 뒤 업데이트를 진행하면 안전하게 관리할 수 있습니다.

우리 회사 홈페이지가 취약한 버전인지 혼자 확인하기 어려울 때는 어떻게 해야 하나요?

관리자 계정 정보를 분실했거나 외주 제작 후 관리가 끊긴 상태라면 하얀모자시큐리티 무료 보안 점검을 통해 외부 노출 버전 여부, 페이지 템플릿 경로 안전성, 업데이트 적용 절차를 안내받으실 수 있습니다. 텔레그램(t.me/jyongchul)이나 문자(010-9333-2028)로 홈페이지 주소를 남겨 주시면 확인을 도와드립니다.

출처와 검증 기준

이 글의 타사 사례와 수치는 아래 공개 기사와 공식 발표에 실린 내용만 인용했습니다. 기업이 직접 밝힌 수치는 독립 감사를 거친 값이 아닙니다. 각 사례의 성과는 해당 기업의 결과이며 하얀모자마케팅이 수행한 프로젝트가 아닙니다. 본문 및 영상에 수록된 공식 보도자료·캠페인 스틸컷 실사 이미지는 출처 언론사 및 배포처 자료를 저작권법 제28조(공표된 저작물의 인용)에 따라 공정인용하고 출처를 명시했으며, 함께 구성된 인포그래픽·도해 카드는 이해를 돕기 위한 시각 자료입니다.

사례 출처:

• CISA — Known Exploited Vulnerabilities Catalog - CVE-2026-87902 (2026-09-25)

• NIST NVD — NVD - CVE-2026-87902 Detail (2026-09-25)

• WordPress.org — WordPress 7.1.2 Security Release (2026-09-22)

• Help Net Security — WordPress 7.1.2 patches critical vulnerability (CVE-2026-87902) (2026-09-23)

• GitHub Security Advisories — GitHub Advisory Database - CVE-2026-87902 (GHSA-7hp8-65ch-5whp) (2026-09-25)

검색 최적화 기준:

• Google Search Central 검색 기본 가이드
• 네이버 서치어드바이저 웹마스터 가이드
• Schema.org 구조화 데이터 어휘

관련 서비스와 상담 경로:

• 하얀모자마케팅 서비스
• 웹사이트 제작 서비스
• 텔레그램 1:1 상담