AI가 25달러로 찾아낸 50만 달러짜리 워드프레스 해킹 취약점

 

 

요즘 AI 보안 뉴스를 보다가 정말 놀라운 사례를 하나 발견했습니다.

바로 AI가 혼자서 워드프레스(WordPress)의 치명적인 보안 취약점을 찾아낸 사건인데요.

 

보안회사 Searchlight Cyber의 연구원이 OpenAI의 신형 모델 'GPT5.6 Sol Ultra'에게 워드프레스 소스코드를 던져주고 "취약점을 찾아봐"라고 시켰더니, 정말로 인증 없이 관리자 권한까지 탈취할 수 있는 심각한 취약점을 찾아냈다고 합니다.

 

이게 왜 놀라운 일이냐면, 다크웹에서 이런 워드프레스 취약점(제로데이)은 50만 달러(약 7억 원)에 거래될 정도로 귀한 물건이거든요. 그런데 이걸 AI가 구독료 기준 단 25달러어치 컴퓨팅 자원만 써서 찾아낸 겁니다.

 

 

워드프레스가 왜 중요할까요?

 

전 세계 웹사이트의 상당수가 워드프레스로 만들어져 있습니다.

개인 블로그부터 기업 홈페이지까지, 무려 5억 개 이상의 사이트가 워드프레스를 쓰고 있다고 하니, 여기서 발견된 취약점 하나가 얼마나 큰 파급력을 가지는지 짐작이 가시죠?

 

 

어떻게 취약점을 찾았을까?

 

연구원은 AI에게 "인터넷 검색이나 기존 패치 이력을 보지 말고, 순수하게 코드만 읽고 처음부터 취약점을 찾아라"라고 지시했습니다.

마치 신입 개발자에게 "정답지 보지 말고 네 힘으로 버그를 찾아봐"라고 시킨 셈이죠.

 

AI는 동시에 여러 개의 '에이전트(작은 AI 일꾼들)'를 풀어서 코드 곳곳을 뒤지게 했고, 약 10시간 동안 작업한 끝에 놀라운 결과물을 만들어냈습니다.

 

 

취약점을 쉽게 설명하면?

 

전문적인 내용이지만, 일상의 비유로 풀어보겠습니다.

 

1) "여러 요청을 한 번에 처리하는 창구"의 허점

 

워드프레스에는 여러 개의 작업 요청을 한 번에 묶어서 처리하는 '배치 API'라는 기능이 있습니다.

마치 은행 창구에서 여러 사람의 업무를 순서대로 처리해주는 것과 비슷한데요.

 

문제는 이 창구의 처리 방식에 있었습니다.

원래는 "① 신분증 확인 → ② 업무 처리"를 사람마다 순서대로 해야 하는데, 워드프레스 배치 API는 "① 모든 사람 신분증부터 미리 확인 → ② 그다음 모든 업무를 순서대로 처리"하는 방식이었습니다.

 

그런데 만약 중간에 신분증이 없는(즉, 잘못된) 요청이 하나 끼어들면 어떻게 될까요?

신분증 확인 목록에서는 그 사람이 빠지지만, 업무 처리 목록에서는 순서가 하나씩 밀리게 됩니다.

결과적으로 A라는 사람의 신분증 확인 결과를 가지고 B라는 사람의 업무를 처리해버리는 어이없는 상황이 발생하는 거죠.

 

이걸 이용하면 원래는 엄격하게 검증받아야 할 입력값이, 검증을 건너뛴 채로 시스템에 들어갈 수 있게 됩니다.

 

2) SQL 인젝션 (데이터베이스에 몰래 명령어 끼워넣기)

 

워드프레스의 게시글 목록 조회 기능 중에는 "특정 작성자를 제외하고 보여줘"라는 옵션이 있는데, 이 옵션에 들어가는 값이 숫자가 아니라 문자로 들어오면 제대로 걸러내지 못하는 허점이 있었습니다.

 

쉽게 말하면, 회원 명부 검색창에 "이름을 입력하세요"라고 되어 있는데, 실수로 "이름 대신 아무 명령어나 입력해도 그대로 실행되는" 상황과 비슷합니다. 이 틈을 타서 AI는 데이터베이스에 있는 정보를 마음대로 훔쳐볼 수 있는 통로를 만들어냈습니다.

 

3) 가짜 게시글로 캐시(임시저장소) 속이기

 

워드프레스는 속도를 높이기 위해 한 번 불러온 게시글 정보를 잠깐 기억해두는 '캐시'라는 임시 저장 공간을 씁니다. AI는 SQL 인젝션을 이용해서 데이터베이스에는 없는 가짜 게시글을 이 캐시에 심어놓는 방법을 찾아냈습니다. 이건 마치 도서관 대출 시스템의 임시 메모장에 "이 책은 101번 칸에 있음"이라고 존재하지 않는 가짜 정보를 몰래 적어넣는 것과 비슷합니다.

 

4) "테마 편집 임시저장" 기능을 관리자 사칭에 악용

 

워드프레스에는 사이트 디자인을 바꿀 때 임시로 변경사항을 저장해두는 기능이 있는데, 이 임시저장 데이터에는 "누가 이 변경을 요청했는지(관리자 ID)" 정보도 함께 들어갑니다.

 

AI는 앞서 만든 가짜 게시글 기법을 이용해서, 이 임시저장 데이터 자체를 조작해 "관리자가 요청한 변경사항"인 것처럼 위장했습니다. 워드프레스는 이 임시저장 데이터를 처리할 때 "관리자 권한으로 처리해야겠군"이라고 판단하고, 잠깐이지만 공격자에게 관리자 권한을 부여해버립니다.

 

5) 마지막 한 방 - 반복 실행 트릭으로 진짜 관리자 계정 생성

 

관리자 권한은 아주 짧은 순간만 유지됩니다. 그 찰나의 순간을 이용해서 AI는 아주 영리한 트릭을 씁니다. 워드프레스의 특정 기능(요청 파싱 훅)을 건드려서, 처음 보냈던 전체 요청을 처음부터 다시 실행시키도록 유도한 겁니다.

 

비유하자면, 잠깐 열린 VIP 출입문 틈으로 "방금 제출했던 서류를 다시 한번 접수해줘"라고 요청하는 건데, 이번에는 VIP 신분으로 접수되기 때문에 서류에 적어놓은 "새 관리자 계정 만들어줘"라는 요청이 정말로 처리되어 버립니다.

 

이렇게 만들어진 진짜 관리자 계정으로 로그인하면, 악성 플러그인 파일을 업로드해서 서버를 완전히 장악(원격 코드 실행, RCE)할 수 있게 됩니다.

 

 

왜 이게 충격적인가요?

 

연구원 본인도 "이 정도로 정교한 공격 체인은 AI 없이 사람이 10시간 안에 찾아내는 건 불가능했을 것"이라고 밝혔습니다. 서로 관련 없어 보이는 5~6개의 작은 허점들을 하나씩 찾아내고, 그것들을 마치 퍼즐처럼 정교하게 이어붙여 관리자 권한 탈취까지 완성한 것이죠.

 

특히 놀라운 건 AI가 스스로 "GET 요청은 배치 API에서 막혀있네? 그럼 이 배치 API 버그를 한 번 더 이용해서 그 제한 자체를 우회하자"는 식으로, 자신이 찾은 버그를 재귀적으로(자기 자신에게 다시) 적용하는 창의적인 발상을 보여줬다는 점입니다.

 

 

워드프레스 사용자라면 확인해보세요

 

다행히 연구팀은 이 취약점을 공개하기 전에 워드프레스 측에 먼저 알렸고, 주말 동안 관리자들이 패치할 시간을 벌어주었습니다. 워드프레스 블로그나 홈페이지를 운영 중이시라면 최신 버전으로 반드시 업데이트하시는 걸 추천드립니다.

 

 

마무리하며

 

이 사례는 AI 보안 연구가 이제 단순한 코드 리뷰 수준을 넘어, 인간 전문가도 놀랄 만큼 창의적인 공격 체인을 스스로 설계하는 단계에 접어들었다는 걸 보여줍니다. 앞으로는 보안 연구자의 역할도 "직접 버그를 찾는 사람"에서 "AI에게 어떤 방향으로 조사시킬지 설계하고 지휘하는 사람"으로 옮겨갈 것 같다는 생각이 드네요.

 

개발자로서도 여러 생각이 드는 뉴스입니다.

앞으로 코드 리뷰나 보안 점검에도 AI 활용이 필수가 될 날이 머지않은 것 같습니다.

 

 

#워드프레스보안 #GPT5.6 #AI해킹 #제로데이 #WordPress취약점 #RCE #보안연구 #AI보안 #SQL인젝션 #개발자