진짜 문제는 취약점이 아니라 23%입니다 — 고쳐도 고쳐지지 않는 사이트

보안 기사를 읽으면 늘 마지막이 같습니다. 「최신 버전으로 갱신하십시오」. 맞는 말인데, 이상하게도 사고는 계속 납니다. 수정판은 이미 나와 있는데도 그렇습니다.

2026년의 숫자를 보면 그 이유가 보입니다.

1. 세 개의 숫자

• WordPress 플러그인 취약점 공개 — 주당 250건 이상
• 그중 인증 없이 악용 가능한 것 — 43%
• 공개 후 30일이 지나도 수정되지 않은 것 — 23%

첫 번째 숫자부터 봅시다. 주 250건이면 하루 35건 이상입니다. 사이트 하나에 플러그인이 10~20개 들어가는 것이 보통이니, 어느 주에 자기 사이트의 플러그인이 목록에 오를 확률은 결코 낮지 않습니다.

두 번째, 43%는 로그인조차 필요 없습니다. 관리자 비밀번호를 아무리 복잡하게 만들어도 소용이 없는 유형입니다. 비밀번호를 묻지 않고 들어옵니다.

그리고 세 번째 숫자가 이 글의 주제입니다.

2. 23%라는 숫자의 의미

취약점이 공개된다는 것은 공격 방법이 함께 알려진다는 뜻이기도 합니다. 실제로 7월의 코어 취약점(wp2shell)에서도, 공개 익스플로잇 코드가 나오자마자 대규모 스캐닝이 시작됐습니다.

그러니 공개일부터 갱신일까지의 기간은 「알려진 문을 열어둔 채로 지내는 시간」입니다. 그 시간이 네 곳 중 한 곳에서 30일을 넘깁니다.

취약점은 발견되면 대개 며칠 안에 고쳐집니다. 고쳐지지 않는 것은 사이트 쪽입니다.

3. 왜 30일이 지나도 갱신되지 않는가

게으름 때문이 아닙니다. 실제 현장에는 이런 사정이 있습니다.

아무도 담당이 아닙니다

홈페이지를 만들 때는 제작 회사가 있었습니다. 납품이 끝나면 그 관계도 끝납니다. 이후 사이트는 「문제가 생기면 그때 연락하는 것」이 됩니다. 취약점은 문제가 생겼다는 신호를 보내지 않습니다. 조용히 열려 있을 뿐입니다.

갱신이 무섭습니다

한 번이라도 플러그인을 갱신했다가 화면이 깨진 경험이 있으면, 그다음부터는 손을 대지 않게 됩니다. 「지금 잘 돌아가고 있으니 건드리지 말자」가 됩니다. 이 판단은 사실 합리적입니다. 눈앞의 손해(사이트가 깨짐)가 확실하고, 보안 위험은 눈에 보이지 않기 때문입니다.

무엇을 갱신해야 하는지 모릅니다

관리 화면에 「업데이트 3건」이라고 떠 있어도, 그중 어느 것이 보안 수정이고 어느 것이 기능 추가인지 알 수 없습니다. 전부 누르자니 3번이 무섭고, 안 누르자니 1번이 걸립니다.

4. 자동 업데이트는 답이 되는가

절반은 됩니다. WordPress는 코어 보안 릴리스를 자동으로 적용하고, 2026년 7월에는 심각도 때문에 강제 자동 업데이트까지 발동했습니다. 이건 분명히 좋은 일입니다.

다만 자동 업데이트에는 한계가 있습니다.

• 테마·플러그인과 충돌하면 화면이 깨집니다. 그리고 깨진 것을 아무도 모른 채 며칠이 지나갑니다. 야간에 자동 적용되는 경우가 많기 때문입니다
• 개발이 멈춘 플러그인은 자동 갱신할 수정판 자체가 없습니다. 이 경우 필요한 것은 갱신이 아니라 대체 또는 제거라는 판단입니다
• 설정이 원인인 취약점은 갱신으로 해결되지 않습니다. 결제 플러그인의 웹훅 서명 미설정 같은 것이 그렇습니다

즉 자동 업데이트는 「누르는 일」을 대신해 줄 뿐, 「판단하는 일」과 「확인하는 일」은 남습니다.

5. 그래서 필요한 것

정리하면 필요한 일은 세 가지입니다. 어렵지는 않은데, 계속 해야 합니다.

• 주 1회, 취약점 목록을 자기 사이트의 플러그인과 대조한다
• 갱신 전에 되돌릴 수 있는 상태를 만들어 두고, 갱신 후에 화면을 확인한다
• 개발이 멈춘 플러그인은 갱신이 아니라 정리 대상으로 판단한다

이 세 가지를 사업주가 직접 하기는 어렵습니다. 본업이 따로 있기 때문입니다. 그렇다고 사내에 웹 담당자를 한 명 두기에는, 연간 인건비가 홈페이지 제작비의 몇 배가 됩니다.

6. THEVOS가 하는 방식

저희는 홈페이지를 만들어 드린 뒤 1년간 무상으로 유지보수를 맡습니다. 위의 세 가지가 그 안에 들어 있습니다. 만들고 끝내지 않는 이유는 단순합니다. 만든 뒤가 더 길기 때문입니다.

또한 저희 자체 CMS인 VosCMS는 기능을 외부 플러그인이 아니라 자체 모듈로 코어 안에서 만듭니다. 갱신해야 할 대상이 여러 곳으로 흩어지지 않고, 수정이 필요하면 남의 수정판을 기다리지 않습니다.

WordPress가 나쁘다는 이야기가 아닙니다. 세계에서 가장 많이 쓰이는 데는 이유가 있고, 제대로 운용하면 훌륭하게 돌아갑니다. 다만 「제대로 운용한다」 안에 매주 반복되는 일이 들어 있다는 것, 그리고 그 일을 누가 할 것인지를 처음에 정해 두어야 한다는 것 — 이것이 23%라는 숫자가 알려 주는 내용입니다.

참고 — 2026년 WordPress 플러그인 취약점 통계, IPA 주의 환기(2026년 7월 22일), WordPress.org 강제 자동 업데이트 발동(2026년 7월)