WordPress supply chain attack on Smart Slider 3 Pro pushed a 6-stage backdoor to up to 900K sites within 6 hours on April 7, with a full recovery guide provided.

90만 워드프레스 공급망 공격, 6시간 만에 플러그인이 해킹 무기로 변했다

작성자:
💡 Key Takeaways

  • Smart Slider 3 Pro 공식 업데이트가 해킹돼 6시간 동안 80만~90만 사이트에 6단계 백도어가 배포됐다
  • 멀웨어는 인증 없는 원격 명령 실행부터 C2 서버 자동 등록까지 다층 구성 — 단순 업데이트로 복구 불가
  • 워드프레스 공급망 공격 연이어 발생 — 주간 취약점 333건, 플러그인 신뢰 모델이 위기에 놓였다

6시간. 역사상 가장 정교한 워드프레스 공급망 공격이 벌어지고 차단되기까지 걸린 시간입니다. 4월 7일, 인기 슬라이더 플러그인 Smart Slider 3 Pro의 공식 업데이트 채널이 해킹됐고, 80만~90만 활성 사이트에 6단계 백도어가 심어진 악성 버전이 배포됐습니다.

이번 사태의 충격은 단순한 취약점과 차원이 다릅니다. 방화벽도, 접근제어도, 인증 시스템도 — 사이트 관리자가 세워놓은 모든 방어선이 한순간에 무력화됐습니다. 플러그인 자체가 멀웨어가 됐기 때문입니다.

6시간의 공포: 워드프레스 공급망 공격 타임라인

공격은 Nextend의 업데이트 인프라를 침해하는 것에서 시작됐습니다. 해커는 Smart Slider 3 Pro의 배포 서버에 접근해 정상 빌드를 악성 코드가 삽입된 버전 3.5.1.35로 교체했습니다. 이 버전은 공식 업데이트 채널을 통해 워드프레스와 Joomla 사이트에 자동으로 배포됐습니다.

보안 기업 Patchstack이 이상 징후를 탐지한 것은 배포 시작 약 6시간 뒤였습니다. 악성 버전은 즉시 차단됐고, Nextend는 클린 버전 3.5.1.36을 긴급 릴리스했습니다. 무료 버전 사용자는 영향을 받지 않았지만, Pro 유료 버전 사용자 중 해당 시간 내에 업데이트를 실행한 사이트는 전부 감염 대상이 됐습니다.

워드프레스 공급망 공격을 형상화한 사이버보안 일러스트 (AI-generated)
공식 업데이트 채널이 해킹 무기로 돌변한 Smart Slider 3 Pro 공급망 공격 — Generated by OpenAI DALL-E 3 (AI-generated)

6단계 멀웨어: 업데이트 안에 숨겨진 공격의 해부학

Patchstack의 분석에 따르면, 이번 멀웨어는 6단계로 구성된 다층 공격 아키텍처를 갖추고 있습니다. 1단계는 사전 인증 원격 코드 실행(Pre-auth RCE, 로그인 없이 서버 명령을 실행하는 공격)입니다. 멀웨어는 모든 페이지 로드 시 HTTP 헤더 X-Cache-Status 값을 확인하고, 특정 키가 일치하면 공격자가 전송한 명령을 shell_exec()로 직접 실행합니다.

2단계는 인증 백도어입니다. PHP eval 모드와 OS 명령 실행 모드를 이중으로 갖추고 있으며, shell_exec부터 popen까지 6가지 함수를 순차적으로 시도하는 폴백 체인으로 설계됐습니다. 3단계에서는 ‘wpsvc_’로 시작하는 숨겨진 관리자 계정을 생성하고, 4단계에서 워드프레스 필터를 조작해 관리 화면에서 이 계정을 완전히 은닉합니다.

5단계는 3중 영속성 메커니즘입니다. mu-plugin 디렉토리의 object-cache-helper.php, 활성 테마의 functions.php, 그리고 wp-includes 코어 디렉토리의 class-wp-locale-helper.php에 각각 독립된 백도어를 심어 하나를 제거해도 나머지가 살아남도록 합니다. 6단계에서는 사이트 URL, 관리자 이메일, 데이터베이스명, 평문 자격증명을 C2 서버로 자동 전송합니다.

쉽게 말하면: 이 멀웨어는 집의 현관문뿐 아니라 뒷문, 지하실 출입구, 창문까지 동시에 열어놓은 것과 같습니다. 하나를 잠가도 나머지 경로로 다시 들어올 수 있는 구조입니다.

90만 사이트가 위험한 이유: 워드프레스 플러그인 생태계의 구조적 취약점

워드프레스는 전 세계 웹사이트의 43%를 점유하고 있습니다. 그리고 워드프레스 사이트에 대한 성공적 해킹의 90%가 플러그인이나 애드온을 경유합니다. 플러그인 생태계가 곧 공격면(attack surface, 해커가 진입할 수 있는 접점)인 셈입니다.

2026년 1월 한 주간 보고된 워드프레스 신규 취약점은 333건이었습니다. 이 중 플러그인 취약점이 253건, 테마 취약점이 80건이었으며, 236건은 공개 시점에 패치조차 되지 않은 상태였습니다. 여기서 핵심은, 이번 워드프레스 공급망 공격은 ‘취약점 악용’이 아니라 ‘배포 채널 자체의 침해’라는 점입니다.

취약점은 패치로 방어할 수 있지만, 공급망 공격은 신뢰된 배포 채널 자체가 무기가 됩니다. 사이트 관리자가 보안 모범 사례를 충실히 따르고 있었더라도 — 플러그인을 최신 버전으로 업데이트하는 행위 자체가 감염 경로였습니다.

핵심: 워드프레스 해킹의 90%가 플러그인 경유. 주간 신규 취약점 333건 중 236건 미패치. 공급망 공격은 이 생태계의 신뢰 모델 자체를 무너뜨립니다.
사이버보안 위협을 상징하는 디지털 회로 패널
워드프레스 플러그인 생태계의 보안 취약점이 공급망 공격의 진입로가 되고 있다 — Photo by Adi Goldstein on Unsplash

플러그인이 곧 멀웨어 — Patchstack의 경고

Patchstack은 분석 보고서에서 이번 사건을 한마디로 정리했습니다. “교과서적 공급망 침해 — 방화벽·nonce 검증·역할 기반 접근제어 모두 무력화되며, 신뢰된 업데이트 채널로 전달된 플러그인 자체가 멀웨어다.”

이 분석이 의미하는 바는 명확합니다. 전통적 보안 방어 체계 — 웹 애플리케이션 방화벽(WAF), nonce 토큰 검증, 역할 기반 접근제어(RBAC, 사용자 역할에 따라 접근 권한을 분리하는 체계) — 는 외부에서 내부로의 공격을 차단하도록 설계돼 있습니다. 워드프레스 공급망 공격은 이 전제를 뒤집습니다.

Smart Slider만의 문제가 아닙니다. Gravity Forms(약 100만 활성 설치)도 유사한 수법으로 침해됐습니다. 공격자가 공식 사이트의 수동 설치파일에 백도어를 삽입했고, 멀웨어는 sslverify: false 옵션으로 인증서 검증까지 우회해 탐지를 회피했습니다.

💡 함께 읽으면 좋은 글
754B 오픈소스 AI, 8시간 코딩으로 GPT-5.4를 꺾은 중국의 역습

감염 확인법: 내 사이트가 뚫렸는지 5분 안에 알아내는 법

Smart Slider 3 Pro 버전 3.5.1.35를 설치한 적이 있다면, 즉시 감염 여부를 확인해야 합니다. Patchstack이 공개한 IoC(침해지표, Indicators of Compromise)를 기준으로 파일 시스템부터 점검합니다.

  • wp-content/mu-plugins/object-cache-helper.php — 캐싱 컴포넌트로 위장한 mu-plugin 백도어
  • wp-includes/class-wp-locale-helper.php — 코어 파일로 위장한 백도어
  • wp-includes/.cache_key — 인증 키 저장 파일
  • 활성 테마의 functions.php에서 _wpc_ak 문자열 검색

데이터베이스 점검: wp_options 테이블에서 _wpc_ak, _wpc_uid, _wpc_uinfo 옵션이 존재하는지 확인합니다. 이 세 옵션은 멀웨어의 인증 키, 숨겨진 사용자 ID, 사용자 정보를 각각 저장합니다.

사용자 계정 점검: ‘wpsvc_’로 시작하는 사용자명이나 kiziltxt2@gmail.com 이메일로 등록된 관리자 계정을 검색합니다. 이 계정은 4단계 은닉 필터로 관리 화면에 표시되지 않으므로, 반드시 데이터베이스에서 직접 조회해야 합니다.

워드프레스 대시보드가 표시된 노트북 화면
감염된 워드프레스 사이트는 관리 화면에서 악성 계정이 보이지 않아 데이터베이스 직접 조회가 필수다 — Photo by Deng Xiang on Unsplash

즉시 대응 가이드: 감염 사이트 복구 6단계

감염이 확인됐다면, 단순히 플러그인을 업데이트하는 것으로는 안전을 보장할 수 없습니다. 3중 영속성 메커니즘이 플러그인 외부에 독립 백도어를 심어놓았기 때문입니다. 전체 인시던트 대응 절차는 아래 6단계를 따릅니다.

  • 1단계: 4월 5일 이전 백업으로 복원 (시간대 차이를 고려한 안전 마진)
  • 2단계: 워드프레스 코어, 모든 플러그인, 테마를 신뢰할 수 있는 소스에서 클린 재설치
  • 3단계: Smart Slider 3 Pro를 3.5.1.36 이상 버전으로 업데이트
  • 4단계: 악성 사용자 계정, 파일, 데이터베이스 항목 수동 삭제
  • 5단계: 모든 자격증명 교체 — 워드프레스 관리자, 데이터베이스, FTP/SSH, 호스팅 패널, 이메일
  • 6단계: 워드프레스 보안 키(salt) 재생성 + 2단계 인증(2FA) 활성화

포인트는, 감염된 사이트는 ‘패치’가 아닌 ‘재건’이 필요하다는 것입니다. C2 서버에 평문 자격증명이 이미 전송된 상태이므로, 비밀번호 교체 없이는 백도어를 제거하더라도 재침입 위험이 남습니다.

핵심: 감염 사이트는 업데이트만으로 안전하지 않습니다. 4월 5일 이전 백업 복원 → 클린 재설치 → 전체 자격증명 교체가 최소 대응입니다.

2026년 공급망 공격 급증, 다음 타깃은 누구인가

Smart Slider 3 Pro(80만~90만 설치)에 이어 Gravity Forms(약 100만 설치)까지 — 2026년 워드프레스 생태계는 연이은 공급망 공격에 시달리고 있습니다. 두 사건 모두 플러그인 벤더의 배포 인프라를 직접 침해한 동일한 패턴입니다.

워드프레스 보안의 근본 문제는 자동 업데이트 의존 구조에 있습니다. 수십만 사이트가 벤더의 배포 서버를 무조건 신뢰하고, 코드 서명(code signing, 배포 파일의 위변조를 검증하는 암호화 장치)이나 무결성 검증 없이 업데이트를 적용합니다. Patchstack의 표현대로, “전통적 경계 방어가 무의미해지는” 구조입니다.

이번 사태에서 추적해야 할 지표는 두 가지입니다. 워드프레스 플러그인 코드 서명 도입 논의의 진전 여부, 그리고 동일 수법의 공급망 침해가 추가로 발생하는지 여부입니다. 워드프레스 공급망 공격은 단일 플러그인의 문제가 아닌, 플러그인 배포 모델 전체의 신뢰 기반을 시험하고 있습니다.

💡 함께 읽으면 좋은 글
28개 도시 집값 폭락, 미국 부동산 대역전이 시작됐다

참고 자료

트렌드를 먼저 읽는 사람들

AI, 테크, 경제의 핵심 인사이트를 한국어와 영어로 동시에 제공합니다.

더 많은 글 보기