2023년 WordPress 보안 현황

과제는 끊임없이 진화하는 2023년 WordPress 보안 현황 속에서 최신 사이버 위협으로부터 안전을 지키는 것입니다.

WordPress는 2003년 출시된 이후 줄곧 인기 있는 웹사이트 CMS 플랫폼으로 자리매김해 왔습니다. 하지만 인기가 높아질수록 보안 위협의 위험도 함께 커지기 마련입니다. 2023년을 맞이한 지금, WordPress 보안의 현재 상태를 점검해 볼 필요가 있습니다.

카테고리별 WordPress 보안 취약점

이미지 출처: Wordfence

2021년과 2022년 사이, 공개된 취약점 상위 5개 카테고리에는 상당한 변화가 있었습니다. 특히 주목할 만한 변화는 정보 노출(information disclosure)이 파일 업로드를 제치고 다섯 번째로 흔한 취약점 카테고리로 올라섰다는 점입니다. 이는 민감하고 기밀한 데이터를 보호하는 일이 얼마나 중요한지를 잘 보여줍니다. 또한 CSRF 취약점도 크게 증가해 두 배 이상으로 늘어났으며, 마찬가지로 2021년 대비 거의 두 배 증가한 인가 우회(authorization bypass) 취약점보다도 높은 순위를 차지했습니다.

소프트웨어 유형별 WordPress 보안 취약점

이미지 출처: Wordfence

취약점이 보고된 위치의 분포를 살펴보면, 플러그인이 보고된 취약점의 압도적인 다수를 차지한다는 사실을 알 수 있습니다. 테마보다 플러그인의 수가 훨씬 많다는 점이 이 통계에 자연스럽게 영향을 미친다는 사실도 함께 짚어볼 필요가 있습니다. 그럼에도 불구하고 이는 WordPress 코어 플랫폼이 상대적으로 더 안전하다는 점을 보여주며, WordPress 생태계에서 발생하는 대부분의 보안 우려는 플러그인과 테마에서 비롯된다고 볼 수 있습니다.

아래에서 자세히 살펴볼, 참고할 만한 WordPress 보안 통계를 간단히 소개합니다:

• 해킹당한 WordPress 사이트의 74%는 공격 당시 오래된 소프트웨어를 사용하고 있었습니다.
• 가장 인기 있는 WordPress 사이트 중 26개가 심각한 보안 위험이 있는 플러그인을 사용하고 있었습니다.
• 2022년에는 전년 대비 328건 더 많은 보안 관련 버그가 보고되어, 총 건수가 4,528건에 달했습니다

수년간 보안을 개선하기 위한 수많은 노력에도 불구하고, WordPress는 오래된 소프트웨어 버전과 취약한 비밀번호로 인해 여전히 공격에 취약한 상태입니다. 실제로 Sucuri의 보고서에 따르면, 해킹당한 WordPress 사이트의 약 74%가 공격 당시 오래된 소프트웨어를 사용하고 있었습니다. 또한 플러그인과 테마도 정기적으로 업데이트하지 않으면 잠재적인 취약점이 될 수 있습니다.

그렇다고는 하지만, 최근 몇 년간 WordPress 보안을 강화하기 위한 눈에 띄는 개선도 이루어졌습니다. 여기에는 코어 파일 자동 업데이트와 플러그인 개선 및 강화된 사용자 비밀번호 요건이 포함됩니다.

다음 사실을 살펴보겠습니다. 2022년, 인기 있는 웹사이트 플러그인의 보안과 관련해 충격적인 사실이 발견되었습니다. 이들 플러그인 중 26개에서 한 번도 패치되지 않은 심각한 보안 버그가 발견된 것입니다. 이러한 플러그인을 사용하는 웹사이트는 해킹당하거나 민감한 정보가 유출될 위험에 노출됩니다.

이 사실은 웹사이트 소유자가 자사 사이트의 보안에 대해 결코 안심할 수 없다는 점을 명확히 보여줍니다. 사이버 위협이 날로 정교해지는 만큼, 기업은 자신과 고객을 보호하기 위해 필요한 모든 조치를 취해야 합니다. 여기에는 소프트웨어를 정기적으로 업데이트하고 취약점을 신속하게 해결하는 것이 포함됩니다.

2022년에는 WordPress 플러그인에 대한 보안 버그 보고 건수가 크게 증가했습니다. 구체적으로, 전년 대비 328건 더 많은 버그가 보고되어 데이터베이스에 확인된 보안 버그의 총수가 4,528건에 달했습니다. 이는 겨우 1,382건의 보안 버그가 보고되었던 2021년보다 훨씬 큰 폭의 증가입니다. 이러한 수치는 보안 취약점을 파악하기 위해 플러그인을 정기적으로 모니터링하고 가능한 한 신속하게 업데이트하는 것이 얼마나 중요한지를 보여줍니다.

전 세계에서 가장 인기 있는 콘텐츠 관리 시스템(CMS) 중 하나인 WordPress는 플랫폼 코드의 취약점을 노리는 사이버 범죄자들의 표적이 되는 경우가 많습니다. WordPress는 이러한 위협에 대응하기 위해 자동 업데이트와 강화된 비밀번호 정책 등 다양한 보안 조치를 시행해 왔습니다. 하지만 WordPress 생태계를 더욱 안전하게 만드는 가장 효과적인 방법 중 하나는 바로 책임 있는 취약점 공개(responsible disclosure)입니다.

최근 몇 년간 책임 있는 취약점 공개가 더욱 보편화되었으며, WordPress 생태계는 이러한 흐름의 혜택을 크게 누리고 있습니다. WordPress 플러그인, 테마 또는 코어 플랫폼에서 취약점을 발견한 많은 보안 연구자들은 이제 이를 WordPress 보안팀에 신고하는 방식을 선택하며, 보안팀은 플러그인 및 테마 개발자와 협력해 패치를 배포할 수 있습니다.

책임 있는 취약점 공개의 장점 중 하나는 해당 취약점이 널리 알려지기 전에 개발자가 수정 패치를 배포할 수 있다는 점입니다. 이는 사이버 범죄자가 취약점을 악용해 WordPress 사이트를 공격하는 것을 방지하는 데 도움이 됩니다. 패치가 마련되기도 전에 취약점이 공개적으로 알려지는 경우, 이를 “제로데이(zero-day)” 공격이라고 합니다.

책임 있는 취약점 공개는 WordPress 사용자가 적시에 취약점을 패치하여 사이트가 해킹당할 위험을 줄일 수 있도록 도와줍니다. 취약점이 발견되어 책임 있는 공개 절차를 통해 신고되면, WordPress 보안팀은 신속하게 패치를 배포할 수 있습니다. 그러면 사이트 소유자는 플러그인, 테마 또는 WordPress 코어 플랫폼을 업데이트해 패치를 적용하고 사이트가 손상될 위험을 줄일 수 있습니다.

WordPress 커뮤니티는 책임 있는 취약점 공개의 중요성을 인식하고 있으며, 현재 여러 이니셔티브를 통해 이러한 관행을 장려하고 있습니다. 예를 들어 WordPress 보안팀은 보안 연구자가 취약점을 신고할 수 있도록 전용 이메일 주소를 운영하고 있습니다. 또한 많은 플러그인 및 테마 개발자가 자사 웹사이트에 책임 있는 취약점 공개 정책을 명시하고 있습니다.

결론적으로, 책임 있는 취약점 공개는 WordPress 생태계의 보안을 강화하는 데 필수적인 관행입니다. 보안 연구자가 WordPress 보안팀에 책임감 있고 윤리적으로 취약점을 신고함으로써, 개발자가 신속하게 패치를 배포하도록 돕고 제로데이 공격의 위험을 줄일 수 있습니다. WordPress 사용자 역시 자신의 사이트에 적시에 패치를 적용함으로써 책임 있는 취약점 공개의 혜택을 누리고 사이트가 손상될 위험을 줄일 수 있습니다. WordPress 커뮤니티는 앞으로도 플랫폼이 안전하고 신뢰할 수 있는 상태를 오랫동안 유지할 수 있도록 책임 있는 취약점 공개를 지속적으로 장려하고 촉진해야 합니다.