한 주 동안 워드프레스·SonicWall·SharePoint가 동시에 뚫린 이유 — 방어자가 챙겨야 할 우선순위 정리

이미지 출처: The Hacker News

보안 담당자의 월요일 아침은 대개 밀린 취약점 공지를 여는 일로 시작함. 그런데 이번 주는 유독 무거웠음. 워드프레스 플러그인에서 원격 코드 실행이 터졌고, SonicWall 장비에서는 아직 패치가 준비되기도 전에 공격이 관측되는 제로데이가 나왔으며, 마이크로소프트 SharePoint에서도 실전 악용이 확인된 결함이 보고됐음. 여기에 요즘 급격히 늘어난 AI 서비스 자체를 겨냥한 공격까지 겹쳤음. 개별 사건을 따로 보면 각각 무섭지만, 방어자 입장에서 진짜 중요한 건 "이 많은 불 중 어디부터 끌 것인가"임.

핵심 요약

• 워드프레스 플러그인 RCE, SonicWall 제로데이, SharePoint 악용 결함이 한 주에 몰림 — 공통점은 '외부에서 바로 닿는 경계면'.
• 패치 여부보다 먼저 볼 것은 노출 여부. 관리 인터페이스와 파일 업로드 지점을 인터넷에 열어뒀는지부터 점검.
• AI 서비스 공격은 새로운 유형이지만 방어 원리는 동일 — 입력 신뢰 금지, 권한 최소화, 이상 호출 모니터링.

왜 하필 이 네 가지가 위험한가

사건이 많을수록 하나하나 파고들다 지치기 쉬움. 그래서 개인적으로는 공격자가 어디를 통해 들어오는가라는 축으로 묶어서 보는 걸 추천함. 이번 주 사건들의 공통점이 바로 그 지점에 있음.

• 워드프레스 플러그인 RCE: 전 세계 웹의 상당수가 워드프레스임. 코어가 아니라 플러그인이 문제인 경우가 대부분인데, 파일 업로드·역직렬화·인증 우회가 엮이면 관리자 계정 없이도 서버에서 코드가 돌아감. 노출 규모가 크다는 게 가장 무서운 부분.
• SonicWall 제로데이: VPN·방화벽 같은 경계 장비는 '보안을 위해 둔 장비'인데, 역설적으로 인터넷에 항상 열려 있어 공격 표면 1순위임. 패치가 없는 상태에서 악용이 관측된다는 건 이미 시간 싸움이 시작됐다는 뜻.
• SharePoint 악용 결함: 사내 협업의 중심이라 내부 문서·계정 정보가 모여 있음. 한 번 뚫리면 측면 이동(lateral movement)의 발판이 되기 딱 좋음.
• AI 서비스 공격: 프롬프트 주입, API 키 탈취, 모델 남용처럼 기존에 없던 결이지만, 결국 '신뢰하면 안 될 입력을 신뢰한' 고전적 실수가 새 옷을 입은 형태임.

패치보다 먼저 할 일 — 노출 점검

"패치 나왔으니 적용하면 되죠?"라고 생각하기 쉬운데, 현장에서 보면 순서가 반대일 때가 많음. 패치를 당장 못 붙이는 상황(운영 중단 부담, 검증 시간 필요 등)이 흔하기 때문임. 그럴 때 시간을 벌어주는 게 노출 최소화임.

• SonicWall·방화벽 관리 인터페이스가 공인 IP로 열려 있는지 확인. 관리 접근은 VPN 뒤나 특정 IP 허용 목록으로 제한하는 게 기본.
• 워드프레스는 사용하지 않는 플러그인을 과감히 삭제. 비활성화만으로는 파일이 남아 공격 경로가 되기도 함. 파일 업로드 디렉터리에서 실행 권한을 빼는 것도 효과적.
• SharePoint는 외부 공개 사이트와 내부 전용 사이트의 경계를 다시 확인. 익명 접근이 필요 없는 영역은 인증 뒤로 옮김.

탐지 관점 — 뚫렸다면 무엇이 보이는가

완벽한 차단은 없다고 보고, 침해 후 흔적을 얼마나 빨리 잡느냐로 무게중심을 옮기는 게 현실적임. 이번 유형들에서 공통으로 챙길 만한 신호를 정리하면 이런 것들임.

• 웹서버 프로세스(php, w3wp 등)가 갑자기 셸·인코딩된 명령·외부 접속을 일으키는 흐름. RCE의 대표적 사후 징후.
• 경계 장비 계정에서 평소와 다른 시간대·지역의 로그인, 설정 변경, 새 관리자 생성.
• AI API 키의 급격한 호출량 증가나 비정상 지역에서의 사용. 비용 청구서가 침해를 먼저 알려주는 경우도 실제로 있음.

이런 신호는 결국 로그를 남기고, 모아 두고, 기준선과 비교해야 잡힘. 평소에 정상 트래픽이 어떤 모습인지 알아둬야 이상함이 눈에 들어오는 거죠.

이번 주의 교훈

사건이 쏟아지는 주에는 완벽하게 다 대응하려다 아무것도 못 끝내기 쉬움. 그래서 인터넷에 직접 닿는 것부터라는 원칙 하나만 붙잡아도 우선순위가 정리됨 — 경계 장비, 공개 웹, 외부 API 순으로 훑고, 못 고칠 것은 노출을 줄여 시간을 버는 식임. AI 서비스라는 새 표면이 늘었지만 방어의 기본 문법은 그대로라는 게 오히려 다행인 지점이라고 생각함. 이번 주 공지들 중 우리 환경에 해당하는 게 있는지, 오늘 관리 인터페이스 노출부터 같이 한 번 점검해보아요. 확인한 결과나 막혔던 부분은 댓글로 나눠주면 좋겠음.