← IT·AI 소식 피드
보안 · 2026-11-10 08:17 회차

워드프레스 문의 폼 '컨택트 폼 7'에 파일 업로드 취약점 — 6.2~6.2.3 쓰면 지금 6.2.4로 올려야 하나?

네, 문의 폼에 Contact Form 7 6.2~6.2.3을 쓰고 있다면 6.2.4 이상으로 올리는 게 맞습니다. 이 범위에는 로그인하지 않은 사람이 폼 첨부 칸으로 막혀야 할 파일을 서버에 남길 수 있는 결함(CVE-2026-114432)이 있고, 11월 8일 CVE가 공개됐습니다.

무슨 일인가

제작자 공지(10월 29일 6.2.4 배포)에 따르면 6.2~6.2.3에서 여러 결함을 엮으면 검증에서 걸러져야 할 파일을 올리고, 제출 직후 지워져야 할 파일을 서버에 남길 수 있습니다. 파일 첨부 칸이 있는 폼이면서 서버가 폴더 목록을 공개로 보여 주는 설정이면 대상이 됩니다. CVE 기록은 데비안·우분투 기본 아파치 설정(폴더 목록 허용, .phar를 PHP로 실행)에서는 원격 코드 실행까지, nginx 등 다른 환경에서도 업로드 폴더에 임의 파일을 쓸 수 있다고 설명합니다. CISA는 CVSS 9.8로 평가했습니다.

공개 경과
10/29
6.2.4 배포
→
11/5
WPScan 등재
→
11/8
CVE 공개
→
11/19
PoC 공개 예정
제작자 공지·WPScan·CVE 기록 기준, 11/19는 Rescana 정리(예정)

왜 중요한가

WordPress.org 기준 활성 설치가 1,000만 곳이 넘는 문의 폼 플러그인이고, 로그인 없이 누구나 쓰는 폼이 입구입니다. 아직 공격 보고는 없지만, Rescana 정리에 따르면 WPScan이 11월 19일 공격 증명 코드를 공개할 예정이어서 그 전에 업데이트를 끝내 두는 편이 안전합니다.

내 사업·앱에 무슨 의미

설치 버전이 취약점할 일
6.2 ~ 6.2.3해당6.2.4 이상으로 업데이트
6.1.x 이하해당 없음(공지 기준)보안 강화분을 위해 6.2.4 이상 권장
6.2.4 · 6.2.4.1수정됨첨부 확장자 테스트

지금 해볼 것

1
버전 확인·업데이트관리자 → 플러그인에서 Contact Form 7을 6.2.4 이상(현재 6.2.4.1)으로 올립니다. 이 판은 워드프레스 7.1·PHP 8.3 이상이 필요합니다.
2
업로드 폴더 점검첨부 임시 폴더(기본 wp-content/uploads/wpcf7_uploads)에 낯선 .php·.phar·.html·.svg 파일이 없는지 봅니다. 제작자 공지에 이미 올라간 파일을 정리해 준다는 안내는 없습니다.
3
폴더 목록 끄기호스팅·서버 설정에서 디렉터리 목록 보기가 꺼져 있는지 확인합니다.

앱몬스터 사이트는 PHP 없이 정적 호스팅으로 운영해 이 플러그인과 무관하고, 연결된 작업 폴더에서도 Contact Form 7 흔적은 0건이었습니다. 위 내용은 2026년 11월 기준 제작자 공지와 CVE 기록을 바탕으로 정리했습니다.

Q&A — 컨택트 폼 7 취약점 자주 묻는 질문

내 사이트가 해당되는지 어떻게 아나요?

관리자 화면 플러그인 목록에서 Contact Form 7 버전이 6.2~6.2.3이면 해당됩니다. 공지에 따르면 6.1.x 이하는 이 취약점이 없지만, 제작자는 모든 사용자에게 6.2.4 이상을 권장합니다. 폼에 파일 첨부 칸이 없으면 이 공격 경로는 쓰이지 않습니다.

지금 공격이 일어나고 있나요?

2026년 11월 9일 기준 실제 공격 보고는 없습니다. CISA 평가에서 악용 여부는 '없음'이고 실제 악용 목록(KEV)에도 없습니다. 다만 보안업체 Rescana 정리에 따르면 WPScan이 11월 19일 공격 증명 코드(PoC)를 공개할 예정이라 그 전에 올려 두는 게 좋습니다.

업데이트하면 고객이 보내던 첨부파일이 막힐 수 있나요?

그럴 수 있습니다. 6.2.4부터 허용 확장자 목록(jpg·png·pdf·txt·mp4 등)에 없는 파일은 확장자가 안전한 이름으로 바뀝니다. zip이나 hwp 같은 파일을 받아 왔다면 업데이트 뒤 테스트로 한 번 보내 보고, 필요하면 개발자에게 허용 목록 추가를 맡기세요.

출처

관련 가이드 → 워드프레스가 해킹됐을 때 복구하는 법 — 단계별 조치