WordPress 플러그인 Acadlix LMS - AI Quiz Maker, Online Exam & Course Plugin에서 로그인 없이 서버 파일을 삭제할 수 있다는 취약점 CVE-2026-103882이 CVE Project / Wordfence CNA 레코드에 확인되었습니다. 설치 기반은 크지 않지만, CVE 기록이 파일 삭제를 통한 원격 코드 실행(RCE) 가능성을 함께 기재하고 있어 해당 플러그인을 쓰는 사이트에는 우선순위가 높은 결함입니다.
개요
CVE Project / Wordfence CNA(cvelistV5) 레코드에 따르면 Acadlix LMS - AI Quiz Maker, Online Exam & Course Plugin for WordPress는 1.1.9 이하, 즉 0 버전대부터 1.1.9 포함 모든 버전에서 임의 파일 삭제에 취약합니다. 레코드가 지목하는 원인은 post_delete_assessment_file_by_id 함수의 파일 경로 검증 부족(insufficient file path validation)입니다. 같은 레코드는 이 취약점을 미인증(Unauthenticated) 상태로 악용 가능한 삭제 취약점으로 기재하고, 임의 파일 삭제가 원격 코드 실행(RCE)으로 이어질 수 있다는 영향 서술도 함께 담고 있습니다.
WordPress.org Plugin API 기준 활성 설치는 40개, 마지막 업데이트는 2026-10-23입니다. 노출 규모만 보면 좁은 사안이지만, 삭제 결함이 RCE 가능성과 함께 기록되었다는 점에서 설치 여부와 버전 확인이 먼저 요구되는 유형의 취약점으로 다뤄집니다.
영향 범위
- 대상 제품: Acadlix LMS - AI Quiz Maker, Online Exam & Course Plugin for WordPress
- 영향 버전: 1.1.9 이하(0 버전대부터 1.1.9 포함)
- 노출 규모: WordPress.org 기준 활성 설치 40개
- 공격 전제: CVE 기록상 미인증(Unauthenticated) 상태로 악용 가능한 삭제 취약점
활성 설치 40개라는 수치는 조직 전반의 대응 우선순위를 낮게 보는 근거가 될 수 있습니다. 다만 그 판단은 '해당 플러그인을 쓰지 않는 경우'에만 성립합니다. LMS·시험·강의 자료용으로 외부에 공개된 사이트처럼 비로그인 방문자를 전제로 운영되는 환경에서는, 설치 여부와 버전 확인 자체가 다른 어떤 점검보다 먼저인 사안입니다. 즉 이 CVE의 우선순위는 설치 규모가 아니라 우리 환경에 플러그인이 존재하는지로 결정됩니다.
기술적 분석
CVE 기록이 명시하는 핵심은 대상 함수와 원인입니다. post_delete_assessment_file_by_id는 평가 관련 파일 삭제 요청을 처리하는 함수로, 이 함수에서 삭제 대상 경로 값에 대한 검증이 충분히 이루어지지 않아 임의 파일 삭제가 발생한다는 것이 레코드의 설명입니다. 그리고 그 삭제가 인증 없이 가능하다는 사실이 Unauthenticated라는 표기로 기록되어 있습니다. 경로 값이 내부에서 어떻게 처리되는지, 삭제 가능한 위치가 어디까지인지에 대한 기술 상세는 제공된 자료에 없습니다.
RCE에 관한 서술도 같은 한계 안에서 봐야 합니다. CVE 기록은 임의 파일 삭제가 원격 코드 실행으로 이어질 수 있는 영향을 담고 있다고 기재하지만, 삭제에서 코드 실행에 이르는 단계별 공격 시나리오는 제공된 증거에 포함되어 있지 않습니다. 따라서 이 글은 RCE 가능성을 레코드가 명시한 영향으로만 전달하며, 어떤 파일이 사라지면 어떤 2차 절차가 유도된다는 식의 추가 경로는 추정하지 않습니다. 확인된 사실은 삭제 가능 여부와 그 영향 범위의 존재까지입니다.
현재 악용·공개 코드 현황
현재 증거 범위에서 공개 PoC, 상세 기술 분석, 실제 악용 사례, CISA KEV 등재 여부는 확인되지 않았습니다(not_found). 따라서 이미 악용 중이라는 표현은 근거가 없습니다. 동시에 '확인되지 않음'이 대기의 근거가 되지도 못합니다. 미인증 원격 삭제라는 구조와 레코드에 명시된 RCE 가능성을 고려하면, 상세 분석이나 PoC가 공개되는 시점에 상황 판단이 달라질 수 있기 때문입니다. 이 글은 공개 PoC·실제 악용 사례·CISA KEV 등재 여부가 현재 증거에서 확인되지 않았다는 사실 이상으로 악용 현황을 확장해 서술하지 않습니다.
확인하지 못한 수치
CVE 레코드 원문 인용이 일부 잘려 있어 CVSS 점수와 벡터는 이 글에서 확정하지 않았습니다. 따라서 다른 CVE와의 정량적 심각도 비교는 가능하지 않고, 아래 대응의 우선순위는 레코드의 영향 서술과 WordPress.org 기준 노출 규모에 근거한 판단입니다.
대응 방안
현재 증거로 뒷받침되는 점검은 다음 두 가지입니다.
- Acadlix LMS 플러그인 사용 여부를 확인합니다. 플러그인 목록에서
acadlix슬러그를 검색하는 방식이 가장 간단합니다. - 사용 중이라면 버전이 1.1.9 이하인지 확인합니다. 이하 버전이면 영향 범위로 간주합니다.
이 지점까지가 자료로 말할 수 있는 범위입니다. 이 취약점을 수정한 플러그인 버전 번호와 벤더의 공식 완화·복구 절차는 제공된 증거에서 확인되지 않습니다. 그래서 '최신 버전으로 업데이트하면 해소된다'는 권고도, 제거·재설치 같은 특정 절차로 삭제 피해가 복구된다는 안내도 이 글에서는 제시하지 않습니다. 업데이트 완료 여부를 판단할 기준 자체가 현재 자료에 없기 때문에, 실질적 조치의 기준점은 벤더의 수정 버전 정보가 확인된 뒤 그 정보로 확정해야 합니다.
탐지·관측도 같은 상황입니다. 제공된 증거에는 구체적인 IOC, 시그니처, 탐지 절차가 포함되어 있지 않습니다. 따라서 이 글은 특정한 로그 항목이나 탐지 규칙을 권장하지 않으며, 실제 악용 여부를 확인할 필요성이 생기면 이 증거 범위 밖의 자료를 별도로 확인해야 합니다.
분석 한계
- 수정 버전 번호, 패치 출시 여부, 벤더의 공식 완화·복구 지침이 확인되지 않아 업데이트 완료 판단 기준이 없습니다.
- CVE 레코드 원문 인용이 일부 잘려 CVSS 점수와 벡터를 확정하지 않았습니다.
- 공개 PoC, 실제 악용 사례, CISA KEV 등재 여부가 미확인입니다.
- 파일 삭제에서 RCE에 이르는 단계별 기술 상세가 제공되지 않아, RCE는 CVE 기록에 명시된 영향으로만 다뤘습니다.
- 제공된 증거에 IOC·시그니처·탐지 절차가 없어 탐지 방법을 제시하지 못했습니다.
참고자료
- CVE-2026-103882 Acadlix LMS <= 1.1.9 - Unauthenticated Arbitrary File Deletion
- Plugin information: acadlix
함께 읽으면 좋은 글
- CVE-2026-110732: WordPress AI Engine의 MCP OAuth 등록 권한 검사 누락, 관리자 계정 탈취 위험은 어디까지 확인됐나
- CVE-2026-76418: Cisco Secure Firewall ASA/FTD SSL VPN 원격 서비스 거부 취약점 분석
- CVE-2026-119050: Agno PandasTools의 unsafe reflection, 코드 실행 가능성과 점검 순서
본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.
댓글 (0)
댓글을 작성하려면 로그인이 필요합니다.
로그인아직 댓글이 없습니다.
첫 번째 댓글을 작성해보세요!