보안 연구자 애덤 큐스가 오픈AI의 GPT-5.6('솔 울트라') 에이전트 여러 개를 동시에 돌려 워드프레스 코어 소스코드를 뒤진 끝에, 로그인 없이도 사이트를 통째로 장악할 수 있는 취약점 두 개를 엮어 'wp2shell'이라 부르는 공격 경로를 10시간 만에 완성했고, 여기 든 비용은 약 25달러였다고 밝혔어요. 워드프레스는 제보를 받아 지난 7월 17일 6.9.5·7.0.2 버전으로 긴급 패치하고 강제 자동 업데이트까지 걸었지만, 공개를 미루는 사이 다른 연구팀들이 같은 취약점을 독자적으로 재현했고 실제로 노리는 시도까지 보고됐어요. 다만 '취약점 하나에 50만 달러를 쳐준다'는 헤드라인 속 주장은 실제 거래 증거 없이 시세 참고용으로 나온 말이라, 하커뉴스 댓글에서는 이 부분에 의문을 다는 사람이 많았어요.
용어 풀이
- RCE
- 공격자가 남의 서버나 컴퓨터에서 자기 마음대로 명령을 실행하게 되는 상태
- SQL 인젝션
- 입력창에 악성 데이터베이스 명령을 몰래 끼워 넣어 정보를 빼내거나 조작하는 공격 방식
- CVE
- 전 세계가 공통으로 쓰는 소프트웨어 취약점 등록 번호
- 제로데이
- 만든 곳도 아직 모르거나 못 고친, 막 발견된 보안 구멍
- 책임 있는 공개
- 취약점을 바로 세상에 알리지 않고 만든 곳이 먼저 고칠 시간을 준 뒤 공개하는 방식
- WAF
- 웹 서비스 앞단에서 공격성 요청을 걸러내는 웹 방화벽
운영자 인사이트
공격자 쪽에서 보면 '오픈소스 코어 전체를 통째로 넣고 며칠 태우면 치명적 취약점이 나온다'는 비용이 단돈 25달러 수준까지 내려왔다는 신호라서, 워드프레스처럼 널리 쓰는 오픈소스를 운영 중이라면 패치 적용 속도와 웹 방화벽(WAF) 가상 패치 체계를 평소보다 더 빠듯하게 챙겨야 해요. 다만 이번 발견이 정적분석 도구로도 잡아낼 수 있었다는 반박도 있어서, 'AI 아니면 못 찾는다'는 공포보다는 패치 주기와 코드 리뷰 체계를 다시 점검하는 계기로 보는 게 맞아요.
여러 관점으로 보기
- 커뮤니티 반응 정말 50만 달러가 오간 증거는 없다며 헤드라인 속 액수에 의문을 제기하는 댓글이 많았어요 Hacker News 토론
- 취약점·패치 팩트체크 워드프레스가 7월 17일에 6.9.5·7.0.2로 패치하고 심각도 때문에 강제 자동 업데이트까지 걸었다고 확인해줘요 The Hacker News
- 실공격 확산 현황 패치가 나온 뒤에도 공개된 공격 코드(PoC)를 활용한 실제 공격 시도가 확인됐다고 전해줘요 BleepingComputer
- 발견 과정 재정리 GPT-5.6이 6시간 넘게 에이전트로 돌며 SQL 인젝션과 권한 상승을 엮어낸 과정을 다시 짚어줘요 Cyber Security News