플러그인 이름	UpdraftPlus
취약점 유형	인증 결함
CVE 번호	CVE-2026-10795
긴급	높은
CVE 게시 날짜	2026-06-10
소스 URL	CVE-2026-10795

긴급: UpdraftPlus (≤ 1.26.4) UpdraftCentral ‘udrpc’를 통한 인증 손상 — 모든 WordPress 소유자가 지금 해야 할 일

작가: WP‑Firewall 보안 팀
날짜: 2026-06-10
태그: 워드프레스, 보안, 업드래프트플러스, 와푸, 취약점, 사고 대응

요약: UpdraftPlus 관련 UpdraftCentral 기능(udrpc)에 영향을 미치는 높은 심각도의 인증 손상 취약점(CVE-2026-10795, CVSS 8.1)은 인증되지 않은 공격자가 인증을 우회하고 취약한 버전(≤ 1.26.4)을 사용하는 사이트에서 권한 있는 작업을 수행할 수 있게 합니다. 이 권고문은 위험, 문제가 일반적으로 어떻게 악용되는지, 공격을 감지하는 방법, 단기 완화 조치(WP-Firewall을 통한 가상 패치 포함), 권장되는 장기 수정 단계를 설명합니다.

요약
이 취약점이 위험한 이유
기술 개요 (비착취적)
일반적인 공격 벡터 및 실제 시나리오
사이트가 표적이 되었거나 손상되었는지 신속하게 감지하는 방법
즉각적인 완화 조치(몇 분 이내에 적용)
지금 배포할 수 있는 가상 패치 및 WAF 규칙
전체 수정: 안전한 업데이트 및 업데이트 후 점검
사고 대응 체크리스트(손상된 경우)
미래의 위험을 줄이기 위한 강화 권장 사항
자주 묻는 질문
WP-Firewall 무료 플랜 — 지금 보호를 추가하는 실용적인 방법
최종 노트 및 리소스

요약

UpdraftPlus 생태계의 인증 손상 취약점(CVE-2026-10795로 식별됨)은 인증되지 않은 요청이 UpdraftCentral/udrpc 인터페이스에서 예상되는 인증 검사를 우회할 수 있게 합니다. Updraft 기능(백업, 복원, 마이그레이션, 원격 제어 엔드포인트)의 특성상, 성공적인 악용은 공격자가 일반적으로 관리 권한이 필요한 작업을 수행할 수 있게 하며, 여기에는 백업/복원 루틴 실행, 통합 흐름을 통한 관리자 계정 생성, 또는 사이트 데이터 유출이 포함됩니다.

귀하의 사이트가 UpdraftPlus 또는 관련 UpdraftCentral 구성 요소를 실행하고 플러그인 버전이 ≤ 1.26.4인 경우, 위험을 즉각적인 것으로 간주하십시오: 지금 업데이트하거나 가상 패치를 적용하십시오.

이 취약점이 위험한 이유

인증되지 않음: 이 취약점은 공격자가 로그인할 필요가 없습니다. 원격 공격자는 일반 HTTP(S) 요청을 통해 취약한 엔드포인트에 접근할 수 있습니다.
권한 상승 / 우회: 이 문제는 인증 검사를 우회하여 공격자가 일반적으로 관리자로 제한되는 작업을 수행할 수 있게 합니다.
자동화 친화적: 이 취약점은 간단한 HTTP 도구를 사용하여 대규모로 탐색하고 악용할 수 있어 대량 악용 캠페인의 매력적인 목표가 됩니다.
백업/복원 벡터: 백업 및 원격 제어와 관련된 구성 요소는 민감한 데이터를 노출하거나 공격자에게 파일을 작성하거나 옵션을 주입하거나 지속적인 액세스를 실행할 수 있는 경로를 제공할 수 있습니다.

취약점이 웹 요청을 통해 노출되고 매우 인기 있는 백업/마이그레이션 플러그인에 영향을 미치기 때문에 즉각적인 완화를 위해 높은 우선 순위로 분류됩니다.

기술 개요 (고수준, 비착취적)

영향을 받는 구성 요소: UpdraftPlus 플러그인 및 특히 UpdraftCentral 관련 RPC(내부 엔드포인트에서 “udrpc”로 언급됨).
영향을 받는 버전: UpdraftPlus(및/또는 UpdraftCentral 통합기) 버전 1.26.4까지 포함.
패치된 버전: 1.26.5(이 버전 또는 이후로 업그레이드하여 영구적으로 수정).
핵심 문제: RPC 엔드포인트에서의 인증 실패 / 요청 진위 확인의 부적절함. 이 엔드포인트는 검증된 자격 증명이나 논스가 필요해야 하는 요청을 수락하거나 처리하지만 제대로 검증되지 않습니다.
공격 표면: udRPC 기능을 노출하는 공개적으로 접근 가능한 URL(명령/매개변수를 수락하는 HTTP POST/GET 핸들러).

주의: 우리는 의도적으로 단계별 착취 코드를 게시하지 않습니다. 우리의 목표는 방어자가 공격 자동화를 가속화하지 않고 탐지하고 완화할 수 있도록 하는 것입니다.

일반적인 공격 벡터 및 실제 시나리오

공격자는 일반적으로 다음과 같은 패턴을 따릅니다:

발견
- UpdraftPlus가 설치된 사이트를 스캔합니다(플러그인 열거 또는 알려진 플러그인 파일 위치와 일반적).
- “udrpc”, “updraftcentral” 또는 원격 RPC 엔드포인트와 일치하는 패턴과 같은 문자열을 포함하는 URL를 탐색합니다.
인증 우회
- 인증을 건너뛰거나 인증 토큰/논스 검사를 잘못 처리하도록 설계된 요청을 udRPC 엔드포인트에 전송합니다.
특권 작업
- 우회가 달성되면 공격자는 다음과 같은 작업을 시도할 수 있습니다:
지속성 및 측면 이동
- 백도어를 설치하고, 관리자 사용자를 생성하거나, 액세스를 유지하기 위해 예약된 작업을 추가합니다.
- 다른 통합자나 연결된 서비스로 수평 이동합니다.

이 취약점은 무단 작업을 가능하게 하므로, 정찰 프로브조차도 악의적인 것으로 간주하고 후속 조치를 위해 기록해야 합니다.

사이트가 표적이 되었거나 손상되었는지 신속하게 감지하는 방법

타겟팅 또는 악용의 징후:

“udrpc”, “updraftcentral”, “updraft”가 포함된 엔드포인트에 대한 비정상적인 POST 요청 또는 액세스 로그에서 예상치 못한 RPC 유사 매개변수.
비정상적인 사용자 에이전트 또는 대량 스캔 IP로부터의 요청, 종종 폭발적으로 발생합니다.
갑자기 생성된 관리자 사용자 또는 사용자 역할의 변경.
의심스러운 시간에 생성된 예상치 못한 백업 또는 트리거하지 않은 wp-content/uploads/updraft(또는 다른 백업 위치)에 나타나는 백업 파일.
플러그인 또는 업로드 디렉토리 아래에서 인식할 수 없는 WordPress에 의해 수정/생성된 파일.
귀하의 사이트에서 시작된 알려지지 않은 호스트에 대한 비정상적인 아웃바운드 네트워크 연결(가능한 경우 네트워크 로그를 확인).

즉시 실행할 로그 확인(예시):

“udrpc”, “updraftcentral” 또는 유사한 문자열에 대한 웹 서버 로그 검색.
Updraft 또는 UpdraftCentral과 관련된 매개변수를 포함하는 wp-admin/admin‑ajax.php에 대한 POST 요청 검색.
예상치 못한 관리자 계정에 대한 WordPress 사용자 목록 검토:
- wp_users 테이블: 예상치 못한 사용자 행
- wp_usermeta: 기능 및 역할 변조.
플러그인 파일 및 업로드 디렉토리의 수정 시간 확인.

의심스러운 활동의 증거를 발견하면 아래의 사고 대응 체크리스트를 따르십시오.

즉각적인 완화 조치(몇 분 이내에 적용)

지금 플러그인을 업데이트할 수 없다면, 즉시 다음을 수행하십시오:

udRPC 엔드포인트에 대한 공개 액세스 차단
- 요청이 신뢰할 수 있는 IP에서 발생하지 않는 한 URL 또는 POST 본문에 “udrpc” 또는 “updraftcentral”이 포함된 요청을 차단하기 위해 WAF, 서버 방화벽 또는 웹 서버 구성을 사용하십시오.
플러그인 관리자 페이지에 대한 접근 제한.
- UpdraftPlus 관리자 페이지 및 플러그인 디렉토리에 대한 액세스를 제한하십시오(관리자를 위한 IP 허용 목록을 통해).
플러그인을 일시적으로 비활성화합니다
- 차단이 불가능하거나 손상이 의심되는 경우 안전하게 업데이트할 수 있을 때까지 UpdraftPlus를 비활성화하십시오.
관리자 비밀번호를 변경하고 비밀을 순환하십시오.
- WordPress 관리자 비밀번호, 데이터베이스 자격 증명(손상이 의심되는 경우) 및 통합 서비스에서 사용하는 모든 API 키를 순환하십시오.
향상된 로깅 및 경고 활성화
- 의심스러운 엔드포인트에 대한 자세한 로깅을 켜고 새로운 관리자 사용자 생성 또는 변경에 대해 경고하십시오.

이러한 조치는 전체 수정 작업을 준비하는 동안 노출을 줄이는 데 도움이 됩니다.

지금 배포할 수 있는 가상 패치 및 WAF 규칙

웹 애플리케이션 방화벽(WAF)이 있는 경우 — WP‑Firewall 포함 — HTTP 계층에서 공격 시도를 차단하는 가상 패치를 배포할 수 있습니다. 가상 패칭은 업데이트 및 사고 대응 계획을 세우는 동안 시간을 벌어줍니다.

권장 WAF 접근 방식

URL 패턴으로 차단
- REQUEST_URI 또는 REQUEST_BODY가 대소문자를 구분하지 않는 패턴과 일치하는 요청을 거부하십시오:
  - udRPC
  - updraftcentral
  - updraft
- ModSecurity 스타일 규칙 예시(템플릿):
```
SecRule REQUEST_URI|ARGS|REQUEST_HEADERS "@rx (?i)(udrpc|updraftcentral|updraft)"
```
- 주의: 합법적인 관리자 워크플로를 방해하지 않는 보수적인 규칙을 사용하십시오. 필요한 경우 알려진 관리자 IP를 화이트리스트에 추가하십시오.
유효한 WordPress nonce 및 쿠키를 요구하십시오.
- 유효한 로그인 쿠키나 검증된 nonce 매개변수가 동반되지 않은 경우 RPC 엔드포인트에 대한 요청을 차단합니다. 인증 쿠키가 없고 Updraft와 관련된 RPC 작업 이름을 호출하려는 요청은 거부합니다.
의심스러운 콘텐츠 유형 및 인코딩 차단
- 이상한 콘텐츠 인코딩이 있는 요청이나 직렬화된 데이터를 전달하기 위해 base64 블롭을 포함하는 POST 요청을 거부합니다.
비율 제한 및 평판 제어
- 엔드포인트에 대한 요청을 비율 제한합니다. 스캐닝 패턴이 있는 IP를 차단합니다.
지리/IP 허용 목록
- 관리자가 알려진 IP 범위의 소규모 집합에서 운영하는 경우, 플러그인 민감한 엔드포인트에 대한 접근을 해당 IP로 제한합니다.
지표 모니터링
- 차단된 요청에 대한 경고를 생성하여 잠재적인 탐색 활동을 조사할 수 있도록 합니다.

WP‑Firewall 고객: 이 문제에 대한 일반적인 악용 패턴을 차단하기 위한 완화 규칙을 발표했으며, 네트워크 전반에 걸쳐 시도를 적극적으로 모니터링합니다. 여러 사이트에 대한 가상 패치를 활성화하는 데 도움이 필요하면, 우리 플랫폼이 중앙에서 규칙을 적용할 수 있습니다.

ModSecurity 규칙 및 nginx 스니펫(템플릿) 예시

이를 시작점으로 사용하고, 환경에 맞게 조정한 후 프로덕션 전에 스테이징에서 테스트합니다.

ModSecurity(추천, 배포 전에 테스트):

# 의심스러운 udRPC 접근 차단(대소문자 구분 없음)"

nginx(단순 URL 차단):

location ~* /(?:(?:udrpc)|(?:updraftcentral)|(?:updraft)) {

중요한: 이는 공격적이며 UpdraftCentral을 합법적으로 사용하는 경우 합법적인 작업을 차단할 수 있습니다. 안전한 관리 접근을 위해 IP 화이트리스트를 사용하거나 특정 관리자 IP를 허용하십시오.

전체 수정: 업데이트, 검증 및 강화

플러그인 업데이트
- UpdraftPlus 및 모든 UpdraftCentral 통합을 버전 1.26.5 이상으로 업데이트합니다. 이것이 결정적인 수정입니다.
- 가능하면 프로덕션 전에 스테이징 사이트에서 항상 업데이트를 테스트합니다.
파일의 무결성을 확인하십시오.
- 플러그인 파일을 알려진 좋은 복사본과 비교하십시오(공식 플러그인 저장소에서 플러그인 패키지를 다운로드하십시오).
- 의심스러운 내용이 있는 최근 수정된 파일을 찾으십시오(웹 셸, eval(base64_decode(…)), 알 수 없는 PHP 파일).
자격 증명을 변경하고 키를 회전시킵니다.
- 침해가 의심되는 경우 관리자 비밀번호를 변경하고, 백업 또는 외부 서비스에서 사용하는 API 키를 재설정하며, 데이터베이스 자격 증명을 교체하십시오.
무단 계정을 제거하세요.
- wp_users 및 wp_usermeta에서 예상치 못한 계정이나 역할 변경을 확인하고, 무단 사용자를 제거하거나 강등하십시오.
백업을 검사하고 안전하게 복원하십시오.
- 백업이 의심되는 공격 창 동안 트리거되거나 생성된 경우, 증거로 처리하십시오. 먼저 정리하지 않고 감염된 백업을 복원하지 마십시오.
악성코드에 대해 다시 스캔하십시오.
- 신뢰할 수 있는 도구로 전체 사이트 악성 코드 검사를 실행하십시오(파일 및 데이터베이스). 가능하다면 두 번째 보안 전문가에게 사이트를 감사받으십시오.
서비스 재활성화
- 깨끗한 상태를 확인한 후, 일시적으로 비활성화된 플러그인을 다시 활성화하고, 최소한의 정책으로 임시 방화벽 차단을 제거하십시오.

타협이 발견되면 — 사고 대응 체크리스트

포렌식 검토에서 침해가 나타나면 구조화된 사고 대응을 따르십시오.

격리하다
- 사이트를 유지 관리 모드로 전환하거나 방화벽에서 트래픽을 차단하십시오. 추가 공격자의 접근을 방지하십시오.
증거 보존
- 로그를 보존하십시오(웹 서버, WAF, 데이터베이스 로그). 조사를 위해 읽기 전용 복사본을 만드십시오.
범위 식별
- 어떤 계정, 파일 및 시스템이 변경되었는지 확인하십시오. 데이터베이스 및 업로드 폴더를 확인하십시오.
근절
- 웹 셸, 무단 플러그인/테마 및 백도어를 제거하십시오.
- 신뢰할 수 있는 출처에서 수정된 코어/플러그인 파일을 교체하십시오.
복구
- 깨끗한 백업에서 복원하거나 깨끗한 코드베이스에서 재구성하십시오. 사이트가 깨끗해지면 자격 증명을 교체하십시오.
모니터링하고 학습합니다.
- 사이트를 강화된 모니터링 상태로 유지하십시오. 더 엄격한 정책, 이중 인증 및 지속적인 스캔을 구현하십시오.
이해관계자에게 알림
- 정책이나 규정에 따라 사이트 소유자, 고객 또는 영향을 받은 개인에게 알리십시오.

침해가 단일 사이트를 넘어 확장되는 경우(예: 호스팅 환경 내 또는 여러 관리 사이트 간), 호스트 또는 보안 제공자와 협력하여 containment 및 remediation을 수행하십시오.

미래의 위험을 줄이기 위한 강화 권장 사항

WordPress 코어, 테마 및 플러그인을 업데이트하고, 제어된 스테이징->프로덕션 흐름에서 업데이트를 적용하십시오.
플러그인 발자국 최소화: 사용하지 않거나 중복된 플러그인을 제거합니다.
역할 최소화 사용: 신뢰할 수 있는 사용자에게만 관리자 권한을 부여합니다.
강력한 비밀번호를 사용하고 모든 관리자 사용자에 대해 이중 인증을 활성화합니다.
가능할 경우 IP 허용 목록을 통해 wp-admin 및 중요한 플러그인 엔드포인트에 대한 액세스를 제한합니다.
WAF를 사용하고 고위험 취약점에 대해 가상 패치를 활성화합니다.
로그를 중앙에서 모니터링하고 예상치 못한 관리자 작업(새 관리자 계정 생성, 플러그인 설치/제거)에 대한 알림을 설정합니다.
스테이징 환경에서 복원을 수행하여 정기적으로 백업을 테스트합니다.
데이터베이스 사용자 및 파일 권한에 대해 최소 권한 원칙을 사용합니다.

자주 묻는 질문

큐: 1.26.5로 업데이트하면 완전히 안전한가요?
에이: 패치된 버전으로 업데이트하면 특정 취약점이 해결되며 이는 확정적인 수정입니다. 업데이트 후에는 이전 악용으로부터 지속성이 남지 않도록 위의 검증 단계를 따르세요.

큐: 내 호스트는 자동 업데이트를 제공합니다. 그게 충분한가요?
에이: 자동 업데이트는 위험을 줄이지만, 업데이트가 성공적으로 완료되었는지 확인하고 업데이트 이전에 발생한 침해의 징후가 있는지 사이트를 스캔해야 합니다.

큐: 업데이트할 수 있을 때까지 UpdraftPlus를 비활성화해야 하나요?
에이: 패치나 가상 패치를 즉시 적용할 수 없다면, 플러그인을 일시적으로 비활성화하세요. 비활성화하면 취약한 코드가 실행되는 것을 방지합니다.

큐: 공격자가 백업을 유출할 수 있나요?
에이: 네 — 공격자가 백업을 트리거하고 이를 검색할 수 있다면, 민감한 파일과 데이터베이스 덤프가 유출될 수 있습니다. 이는 이 취약점을 고위험으로 취급해야 하는 핵심 이유입니다.

WP‑Firewall 무료 보호 계획 — 지금 사이트를 보호하세요

모든 WordPress 사이트를 위한 빠르고 필수적인 보호

플러그인을 업데이트하고 포렌식 검사를 수행하는 동안 위험을 신속하게 줄이려면 WP‑Firewall로 추가 보호 계층을 추가하는 것을 고려하세요. 우리의 기본(무료) 계획은 WordPress에 맞춘 필수 관리 방화벽 보호를 제공합니다:

OWASP 상위 10가지 완화책을 적용한 관리형 방화벽
알려진 악용 패턴을 차단할 수 있는 웹 애플리케이션 방화벽(WAF) 규칙
무제한 대역폭과 악성 코드 스캔으로 의심스러운 파일을 찾아내는 데 도움을 줍니다.
중앙 집중식 규칙 배포로 사이트 코드를 변경하지 않고도 가상 패치를 적용할 수 있습니다.

지금 기본(무료) 요금제에 가입하여 UpdraftPlus를 업데이트하는 동안 즉각적인 가상 보호를 받으세요: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

(자동 제거, 사용자 지정 IP 허용 목록 또는 대규모 지속적인 가상 패칭이 필요한 경우, 자동 악성 코드 제거, 월간 보안 보고서 및 자동 취약점 가상 패칭이 포함된 유료 요금제를 평가하세요.)

최종 메모 및 다음 단계

즉각적인 조치: 가능한 한 빨리 UpdraftPlus를 버전 1.26.5 이상으로 업데이트하세요.
즉시 업데이트할 수 없는 경우, 가상 패칭을 구현하거나(udRPC와 유사한 접근 차단), 플러그인 페이지를 관리자 IP로 제한하거나, 플러그인을 일시적으로 비활성화하세요.
“udrpc” 요청과 같은 탐색 활동 및 지표에 대한 로그를 모니터링하세요.
침해가 의심되는 경우, 사고 대응 체크리스트를 따르고 침해 창 동안 생성된 백업을 잠재적으로 오염된 것으로 취급하세요.

WP‑Firewall에서는 이 문제와 관련된 공격 패턴을 모니터링하고 즉시 적용할 수 있는 완화 규칙을 발표했습니다. 여러 사이트를 관리하는 경우, 중앙 집중식 가상 패칭 및 모니터링이 자산이 노출되는 시간을 크게 줄일 수 있습니다.

가상 패칭을 활성화하거나 권장 WAF 규칙을 배포하거나 침해 평가를 수행하는 데 도움이 필요하면 보안 팀에 문의하거나 대시보드의 WP‑Firewall 지원 채널에 연락하세요.

안전을 유지하고 패칭을 우선시하세요 — 이것은 긴급합니다.

— WP‑Firewall 보안 팀

참고 자료 및 리소스

CVE: CVE‑2026‑10795
UpdraftPlus 패치 릴리스: 1.26.5 (즉시 적용)
일반 WordPress 사고 처리 지침 (이 권고의 단계를 따르세요)

UpdraftPlus의 치명적인 인증 결함//2026-06-10에 게시됨//CVE-2026-10795

긴급: UpdraftPlus (≤ 1.26.4) UpdraftCentral ‘udrpc’를 통한 인증 손상 — 모든 WordPress 소유자가 지금 해야 할 일

목차

요약

이 취약점이 위험한 이유

기술 개요 (고수준, 비착취적)

일반적인 공격 벡터 및 실제 시나리오

사이트가 표적이 되었거나 손상되었는지 신속하게 감지하는 방법

즉각적인 완화 조치(몇 분 이내에 적용)

지금 배포할 수 있는 가상 패치 및 WAF 규칙

권장 WAF 접근 방식

ModSecurity 규칙 및 nginx 스니펫(템플릿) 예시

ModSecurity(추천, 배포 전에 테스트):

nginx(단순 URL 차단):

전체 수정: 업데이트, 검증 및 강화

타협이 발견되면 — 사고 대응 체크리스트

미래의 위험을 줄이기 위한 강화 권장 사항

자주 묻는 질문

WP‑Firewall 무료 보호 계획 — 지금 사이트를 보호하세요

모든 WordPress 사이트를 위한 빠르고 필수적인 보호

최종 메모 및 다음 단계

참고 자료 및 리소스

WP Security Weekly를 무료로 받으세요 👋
지금 등록하세요!!

무료 WordPress 보안 컨설팅을 예약하려면 저희에게 연락하세요.

UpdraftPlus의 치명적인 인증 결함//2026-06-10에 게시됨//CVE-2026-10795

긴급: UpdraftPlus (≤ 1.26.4) UpdraftCentral ‘udrpc’를 통한 인증 손상 — 모든 WordPress 소유자가 지금 해야 할 일

목차

요약

이 취약점이 위험한 이유

기술 개요 (고수준, 비착취적)

일반적인 공격 벡터 및 실제 시나리오

사이트가 표적이 되었거나 손상되었는지 신속하게 감지하는 방법

즉각적인 완화 조치(몇 분 이내에 적용)

지금 배포할 수 있는 가상 패치 및 WAF 규칙

권장 WAF 접근 방식

ModSecurity 규칙 및 nginx 스니펫(템플릿) 예시

ModSecurity(추천, 배포 전에 테스트):

nginx(단순 URL 차단):

전체 수정: 업데이트, 검증 및 강화

타협이 발견되면 — 사고 대응 체크리스트

미래의 위험을 줄이기 위한 강화 권장 사항

자주 묻는 질문

WP‑Firewall 무료 보호 계획 — 지금 사이트를 보호하세요

모든 WordPress 사이트를 위한 빠르고 필수적인 보호

최종 메모 및 다음 단계

참고 자료 및 리소스

WP Security Weekly를 무료로 받으세요 👋지금 등록하세요!!

무료 WordPress 보안 컨설팅을 예약하려면 저희에게 연락하세요.

WP Security Weekly를 무료로 받으세요 👋
지금 등록하세요!!