WordPress 30개 플러그인 백도어 — 공급망 공격의 실체

SUPPLY CHAIN ATTACK

WordPress 30개
플러그인 백도어

8개월 잠복 · PHP 역직렬화 · 영구 폐쇄

인기 플러그인 작가의 30여 개 프로젝트를 인수한 구매자가 8개월간 잠복 후 백도어를 활성화. WordPress.org가 31개 플러그인을 영구 폐쇄했습니다.

31개

폐쇄된 플러그인

8개월

잠복 기간

6자리$

인수 금액

수천 개

감염 사이트

▼ SCROLL

공급망 공격의 해부

ACQUIRE

1단계: 인수

정상 플러그인을
돈으로 삼키다

'Essential Plugin' 작가의 30개+ 프로젝트
6자리 금액(십만 달러 이상)에 인수
정상적인 비즈니스 거래로 위장

DORMANT

2단계: 잠복

8개월간
아무 일도 없었다

정상 업데이트 유지로 신뢰 구축
WordPress.org 검수 통과
사용자들 의심 없이 업데이트 수락

INJECT

3단계: 주입

PHP 역직렬화
백도어 삽입

PHP unserialize 취약점 활용
원격 코드 실행(RCE) 가능
서버 완전 장악 가능한 수준

ACTIVATE

4단계: 활성화

4월 5~6일
백도어 가동

숨겨진 코드가 동시다발 활성화
수천 개 웹사이트 동시 감염
관리자 모르게 데이터 유출 시작

DETECT

5단계: 탐지

보안 커뮤니티가
이상 징후 포착

WordPress 보안 연구자들 경고
의심스러운 네트워크 트래픽 감지
역직렬화 페이로드 분석 완료

SHUTDOWN

6단계: 폐쇄

WordPress.org
31개 영구 차단

4월 7일 전체 플러그인 영구 폐쇄
다운로드 및 업데이트 완전 차단
감염된 사이트 긴급 대응 권고

공격 타임라인

2025년 8월

플러그인 인수 완료

익명 구매자가 'Essential Plugin' 작가로부터 30여 개 플러그인 인수. 정상 거래처럼 보임.

2025년 8월 ~ 2026년 3월

8개월 잠복

정상 유지보수 업데이트를 이어감. WordPress.org 검수 시스템을 통과하며 신뢰를 축적.

2026년 4월 5~6일

백도어 활성화

PHP 역직렬화 백도어가 동시다발적으로 활성화. 수천 개 사이트가 원격 코드 실행에 노출.

2026년 4월 7일

WordPress.org 영구 폐쇄

31개 플러그인 전량 영구 폐쇄. 다운로드 차단, 사용자에게 즉시 삭제 권고.

피해 규모

폐쇄 플러그인

Permanently Closed

8개월

잠복 기간

Dormancy Period

수천

감염 사이트

Compromised Sites

RCE

위험 수준

Remote Code Execution

PHP

공격 벡터

Deserialization

$100K+

인수 비용

Investment

플러그인을 사는 것만으로
수천 서버를 장악했다

코드 한 줄 해킹하지 않았다 신뢰를 샀고, 시간을 기다렸다 공급망 공격의 새로운 교과서 당신의 WordPress는 안전합니까?

TechCrunch 원문 보기

WordPress 30개플러그인 백도어

공급망 공격의 해부

공격 타임라인

피해 규모

플러그인을 사는 것만으로수천 서버를 장악했다

WordPress 30개
플러그인 백도어

플러그인을 사는 것만으로
수천 서버를 장악했다

WordPress 30개 플러그인 백도어 — 공급망 공격

Reference Links

Comments (0)