🇰🇷 한글 설명
Fluent Forms Pro 6.2.7 버전에서 폐기된 업데이트 서버를 통해 변조된 플러그인 빌드가 배포되어 악성 코드가 포함되었습니다. 이 취약점은 백도어 REST API 엔드포인트를 생성하고, 관리자 계정을 생성하며, 플러그인 삭제 후에도 지속되는 악성 파일을 설치합니다.
💡 쉬운 설명
정상적인 업데이트 서버 대신 해커가 만든 가짜 서버를 통해 악성 프로그램이 설치되는 문제입니다. 이 프로그램은 관리자 권한을 탈취하고 컴퓨터에 몰래 숨어들어 지속적으로 공격을 수행할 수 있습니다.
🇺🇸 원문 (English)
Fluent Forms Pro 6.2.7 contains an embedded malicious code vulnerability introduced via a tampered plugin build served through a decommissioned update server. The tampered build introduced a rogue PHP file (libs/class-license-sync.php), loaded via a require_once directive added to fluentformpro.php, that established a backdoor REST API endpoint, dropped persistent PHP files in mu-plugins and uploads directories, installed a passwordless administrator account, and registered scheduled tasks that survived plugin removal.
📍 영향받는 시스템
Fluent Forms Pro 6.2.7
⚔️ 공격 벡터
변조된 플러그인 빌드를 통한 공급망 공격 (Supply Chain Attack)
🛡️ 대응 방법
해당 플러그인을 즉시 삭제하고, mu-plugins 및 uploads 디렉토리 내 의심스러운 PHP 파일(libs/class-license-sync.php 등)을 제거한 후 보안 점검을 실시하십시오.
🔧 검증 코드
명령어 실행 결과로 파일 경로가 출력되면 변조된 악성 코드가 포함된 파일이 존재하는 상태입니다.
find wp-content/plugins/fluentformpro -name 'class-license-sync.php' -o -name 'fluentformpro.php' | xargs grep -l 'class-license-sync.php'