WordPress 업데이트 6.2.1로 인해 사이트가 중단됨

WordPress 6.2.1 보안 업데이트가 일부 웹사이트에서 역효과를 낳고, 개발자들은 이 수정 사항을 미쳤다고 부릅니다.

여러 보안 수정 사항이 포함된 최근 WordPress 보안 업데이트로 인해 일부 사이트의 작동이 중단되어 한 개발자가 "이건 혼란입니다!!"라고 외쳤습니다.

이 업데이트는 WordPress 블록 시스템을 사용하는 사이트에서 수많은 플러그인의 작동을 중지시키는 주요 기능을 제거했습니다.

영향을 받는 플러그인은 양식부터 슬라이더, 이동 경로까지 다양합니다.

업데이트: 버전 6.2.1을 수정하기 위해 WordPress 릴리스 6.2.2

WordPress는 버전 6.2.1에 도입된 결함 있는 보안 패치를 해결하기 위해 금요일 늦게 업데이트를 출시했습니다.

발표 내용은 다음과 같습니다.

"WordPress 6.2.2는 6.2.1의 회귀 문제를 해결하고 6.2.1에서 해결된 취약점을 추가로 패치하기 위한 신속한 대응 릴리스입니다."

이전 업데이트에서 소개된 단축 코드 버그의 영향을 받은 WordPress 게시자는 최신 버전으로 업데이트하는 것을 고려할 수 있습니다.

자동 백그라운드 업데이트를 지원하는 사이트는 WordPress 6.2.1 업데이트가 보안 릴리스(공식적으로는 유지 관리 및 보안 릴리스였음)였기 때문에 자동으로 업데이트를 받았습니다.

공식 WordPress 릴리스 발표에 따르면 업데이트에는 5가지 보안 수정 사항이 포함되어 있습니다.

문제는 블록 테마의 단축 코드에 영향을 미치는 첫 번째 보안 수정에서 발생하며 이로 인해 문제가 발생합니다.

단축 코드는 연락처 양식과 같은 기능을 제공하는 코드에 대한 대체 또는 자리 표시자 역할을 하는 한 줄의 코드입니다.

따라서 양식이 나타나는 모든 페이지에 연락처 양식을 구성하는 대신 단축 코드라는 한 줄만 입력하면 연락처 양식이 포함됩니다.

불행하게도 해커가 사용자 생성 콘텐츠(예: 블로그 댓글) 내에서 단축 코드를 실행하여 악용될 수 있다는 사실이 발견되었습니다.

WordFence는 취약점을 다음과 같이 설명합니다.

"WordPress Core는 6.2 이하 버전의 블록 테마에서 사용자 생성 콘텐츠의 단축 코드를 처리합니다.

이로 인해 인증되지 않은 공격자가 댓글이나 기타 콘텐츠 제출을 통해 단축 코드를 실행할 수 있어 일반적으로 구독자 또는 기여자 수준 권한이 필요한 취약점을 악용할 수 있습니다."

WordFence는 계속해서 이 취약점이 또 다른 더 심각한 취약점을 발생시킬 수 있는 결함과 같다고 설명합니다.

단축 코드 취약점에 대한 해결책은 WordPress 블록 템플릿에서 단축 코드 기능을 완전히 제거하는 것이었습니다.

취약점 수정에 대한 공식 문서에서는 다음과 같이 설명했습니다.

"블록 템플릿에서 단축 코드 지원을 제거합니다."

누군가 WordPress 블록 템플릿에서 단축 코드 지원을 복원하는 해결 방법을 만들었습니다.

그러나 해결 방법은 취약점도 복원했습니다.

"6.2.1을 유지하고 템플릿의 단축 코드 지원을 복원해야 하는 경우 이 해결 방법을 시도해 볼 수 있습니다.

…그러나 보안 문제를 해결하기 위한 지원이 제거되었으며 단축 코드 지원을 복원하면 보안 문제가 다시 발생할 수 있습니다."

단축 코드 지원을 비활성화하면 실제로 일부 사이트가 작동하지 않고 완전히 작동하지 않게 되었습니다.

따라서 보다 영구적인 솔루션이 발견될 때까지 해결 방법을 추가하는 것이 많은 사용자에게 적합했습니다.

WordPress 개발자는 WordPress 업데이트에 대한 불만을 다음과 같이 보고했습니다.

한 사람이 이렇게 썼습니다.

"...단축 코드가 의도적으로 제거되었다는 것은 나에게 정말 미친 짓입니다!! 우리 기관의 FSE 사이트 중 하나 하나는 필터, 검색, ACF 및 플러그인 통합 등 모든 것에 대해 템플릿에서 단축 코드 블록을 사용합니다. 이것은 혼란입니다!!

해결 방법이 나에게 적합하지 않은 것 같습니다. 이전 버전으로 되돌릴 예정이며 수정사항이 있기를 바랍니다."

다른 사람이 게시한 내용:

"그렇습니다. 구텐베르크를 싫어하는 것은 아니지만 최소한 전체 사이트 편집기에서 단계적으로 폐지하고 있던 단축 코드와 같은 일부 블록을 허용하지 않았어야 했습니다.