🇰🇷 한글 설명
WordPress 3.7.5 이전, 3.8.x 3.8.5 이전, 3.9.x 3.9.3 이전, 4.x 4.0.1 이전 버전에서 PHP의 부적절한 동적 타입 비교로 인해 MD5 해시 검증이 실패하여 2008년 이후 접근하지 않은 휴면 계정에 대한 무단 접근을 허용하는 취약점입니다.
💡 쉬운 설명
WordPress의 로그인 보안 검사가 제대로 작동하지 않아서 오래 방치된 계정이 해킹될 수 있습니다. 공격자가 비밀번호 없이도 특정 조건에서 계정에 접속할 수 있는 문제입니다.
🇺🇸 원문 (English)
WordPress before 3.7.5, 3.8.x before 3.8.5, 3.9.x before 3.9.3, and 4.x before 4.0.1 might allow remote attackers to obtain access to an account idle since 2008 by leveraging an improper PHP dynamic type comparison for an MD5 hash.
📍 영향받는 시스템
WordPress 3.7.5 미만, 3.8.0~3.8.4, 3.9.0~3.9.2, 4.0.0
⚔️ 공격 벡터
MD5 해시 비교 로직의 PHP 타입 강제 변환 (loose comparison) 악용하여 유효하지 않은 패스워드로 인증 우회
🛡️ 대응 방법
WordPress를 3.7.5, 3.8.5, 3.9.3, 4.0.1 이상으로 즉시 업데이트
🔧 검증 코드
WordPress 버전이 취약 버전 범위에 있으면 즉시 업데이트 필요
curl -s https://example.com/wp-admin/ 2>/dev/null | grep -o 'wp-content/.*/?v=[0-9]' | head -1