🇰🇷 한글 설명
WordPress 4.8.2 이하는 약한 MD5 기반 비밀번호 해싱 알고리즘을 사용하여 공격자가 해시 값에 접근했을 때 원문 비밀번호를 결정하기 용이하다. PHP 버전 업그레이드 시 호환성 문제가 발생할 수 있다.
💡 쉬운 설명
WordPress가 비밀번호를 저장할 때 매우 약한 암호화 방식을 사용하고 있어서, 해킹으로 데이터베이스를 털렸을 때 비밀번호를 쉽게 알아낼 수 있다. 새로운 WordPress 버전으로 업데이트하면 더 안전한 암호화 방식으로 바뀐다.
🇺🇸 원문 (English)
WordPress through 4.8.2 uses a weak MD5-based password hashing algorithm, which makes it easier for attackers to determine cleartext values by leveraging access to the hash values. NOTE: the approach to changing this may not be fully compatible with certain use cases, such as migration of a WordPress site from a web host that uses a recent PHP version to a different web host that uses PHP 5.2. These use cases are plausible (but very unlikely) based on statistics showing widespread deployment of WordPress with obsolete PHP versions.
📍 영향받는 시스템
WordPress 4.8.2 이하 모든 버전
⚔️ 공격 벡터
데이터베이스 접근 후 MD5 해시 기반 사전 공격(dictionary attack) 또는 무차별 대입(brute force)
🛡️ 대응 방법
WordPress를 최신 버전으로 업데이트하여 bcrypt 또는 argon2 기반 해싱으로 변경
🔧 검증 코드
4.8.3 이상이면 안전, 4.8.2 이하면 취약. 파일이 없으면 WordPress가 설치되지 않은 상태
grep -oP '\$wp_version\s*=\s*['\'']\K[0-9.]+' wp-includes/version.php 2>/dev/null || echo '미설치'