Mailgun for WordPress SSRF(CVE-2026-78003)｜영향 범위와 대응

취약점의 핵심

Mailgun for WordPress는 WordPress가 보내는 메일을 Mailgun HTTP API 또는 SMTP로 전달하도록 연결하는 플러그인입니다. CVE-2026-78003은 2.2.0 이하에서 add_list 처리의 입력 검증이 충분하지 않아, 로그인하지 않은 외부 요청이 사이트에 저장된 Mailgun API 키 권한으로 의도하지 않은 API 경로에 요청을 보낼 수 있은 서버 측 요청 위조 취약점입니다. 일반적인 SSRF처럼 내부 주소를 읽은 문제로만 이해하면 범위를 놓치기 쉽습니다. 이번 항목의 핵심은 WordPress 서버가 가진 Mailgun 인증정보와 Mailgun API 경로가 결합된다는 점입니다.

공식 CVE 설명은 공격자가 인바운드 메일 전달 라우트를 만들 수 있고, 그 결과 비밀번호 재설정 메일이 다른 경로로 전달돼 관리자 계정 탈취로 이어질 수 있은 시나리오를 제시합니다. 이 흐름은 WordPress 플러그인 하나의 파일 결함에서 시작하지만 점검 범위는 WordPress 관리자 계정, Mailgun 계정의 라우트, API 키, 실제 메일 전달 설정까지 이어집니다. 웹 서버에서 플러그인만 업데이트하고 Mailgun 쪽 구성을 보지 않으면 업데이트 이전 노출 기간에 생긴 변경을 놓칠 수 있습니다.

영향 버전과 수정 상태

영향 범위는 Mailgun for WordPress 2.2.0 이하입니다. WordPress.org의 공식 변경 기록은 2.2.1에서 add_list AJAX 작업에 nonce 검증과 서버 측 목록 주소 검증을 추가해 인증되지 않은 임의 목록 구독을 막았다고 설명합니다. 2.2.2는 API 요청 해시, 멀티파트 경계, 위젯 ID 생성에 쓰던 SHA-1·MD5를 SHA-256으로 교체한 별도 보안 개선을 포함합니다. 따라서 운영 시점에는 단순히 2.2.1에 맞추기보다 WordPress.org에 제공되는 최신 안정 버전으로 올리고 변경 기록을 함께 확인하는 편이 합리적입니다.

• 영향 대상: Mailgun for WordPress 2.2.0 이하
• 최초 수정선: 2.2.1의 nonce 검증과 서버 측 주소 검증
• 공식 페이지의 최신 버전: 2.2.2, 추가 암호학적 해시 개선 포함

설치 여부만으로 실제 노출을 똑같이 판단할 수는 없습니다. 플러그인이 활성화돼 있고 Mailgun API 방식이 구성됐는지, API 키가 저장돼 있는지, Mailgun 계정에서 인바운드 라우트를 사용하는지에 따라 조사 우선순위가 달라집니다. 다만 이러한 조건 확인은 패치 대상을 줄이기 위한 근거가 아니라 사후 검토 순서를 정하기 위한 자료입니다. 2.2.0 이하가 확인되면 기능 사용 여부와 관계없이 업데이트를 우선하고, 저장된 인증정보와 Mailgun 구성은 별도로 검토해야 합니다.

요청이 메일 경로로 이어지는 방식

취약한 처리에서는 사용자가 제어하는 값이 Mailgun API 요청 경로를 구성하는 데 쓰이며, 형식 정리는 수행되더라도 허용된 경로인지 확인하는 검증이 충분하지 않았습니다. 그 결과 외부 요청이 WordPress 사이트에 저장된 API 키를 이용해 원래 의도한 목록 처리와 다른 Mailgun API 동작으로 향할 수 있습니다. 방어 관점에서 중요한 점은 공격자의 네트워크 위치보다 서버 측 자격증명이 대신 요청을 보낸다는 사실입니다. 웹 접근 로그만으로는 Mailgun 계정에서 만들어진 객체의 최종 상태가 모두 보이지 않을 수 있으므로 두 서비스의 기록을 함께 봐야 합니다.

인바운드 라우트는 Mailgun이 받은 메일을 조건에 따라 다른 주소나 애플리케이션으로 전달하는 기능입니다. 비밀번호 재설정 메일이 공격자가 지정한 전달 경로에 포함되면 계정 복구 링크가 유출될 수 있습니다. 그래서 사후 확인에서는 발신 메일 성공 여부만 보는 것으로 부족합니다. Mailgun 제어판 또는 공식 API에서 라우트 목록, 생성·수정 시각, 필터 조건, 전달 목적지를 현재 승인된 구성과 대조하고, 예상하지 않은 라우트가 있다면 증거를 보존한 뒤 비활성화 또는 삭제해야 합니다.

WordPress 관리 계정도 같은 시간축으로 확인합니다. 라우트가 변경된 시점 이후 비밀번호 재설정, 관리자 추가, 이메일 주소 변경, 플러그인 설치, 테마 파일 수정 같은 이벤트가 있었는지 관련 로그와 관리 기록을 대조합니다. WordPress 자체에 충분한 감사 로그가 없을 수 있으므로 웹 서버, 인증 프록시, 호스팅 제어판, 보안 플러그인, Mailgun 이벤트 등 실제 운영 환경에 존재하는 기록을 모아 판단하는 것이 좋습니다.

우선 대응 순서

1. WordPress 사이트별로 Mailgun for WordPress 설치 여부와 버전을 확인하고 2.2.0 이하를 우선 목록화합니다.
2. 플러그인이 사용하는 전송 방식, Mailgun 도메인, API 키 저장 위치, 인바운드 라우트 사용 여부를 문서화합니다.
3. 플러그인을 2.2.1 이상, 가능하면 WordPress.org의 최신 안정 버전으로 업데이트합니다.
4. Mailgun 계정의 인바운드 라우트와 관련 이벤트를 승인된 기준 구성과 대조합니다.
5. 노출 기간과 조사 결과를 반영해 API 키를 교체하고 발송·비밀번호 재설정 흐름을 안전한 테스트 계정으로 검증합니다.

업데이트 전에는 WordPress 파일과 데이터베이스, 현재 플러그인 설정, Mailgun 라우트 구성을 백업하거나 내보내 복구 지점을 마련합니다. 적용 후에는 테스트 메일, 일반 알림, 안전한 테스트 계정의 비밀번호 재설정 메일이 올바른 수신지로 전달되는지 확인합니다. 실제 사용자의 재설정 절차를 임의로 실행하거나 운영 메일을 다른 주소로 보내는 방식은 피하고, 사전에 합의한 테스트 계정과 수신 주소를 사용해야 합니다.

API 키 교체 판단

API 키가 취약한 버전의 플러그인에 저장돼 있었고 외부 접근 가능한 기간이 있었다면 키 교체를 검토해야 합니다. 교체는 새 키 발급, WordPress 설정 갱신, 발송 테스트, 기존 키 폐기의 순서로 진행하면 메일 중단을 줄일 수 있습니다. 먼저 기존 키를 폐기하면 비밀번호 재설정, 주문 알림, 회원 가입 안내 같은 필수 메일이 멈출 수 있습니다. 새 키의 권한은 필요한 범위로 제한하고, 여러 사이트가 하나의 키를 공유한다면 사이트별 분리를 함께 계획하는 편이 이후 조사와 폐기에 유리합니다.

키 교체만으로 Mailgun 계정의 라우트가 원상 복구되는 것은 아닙니다. 이미 생성된 라우트나 변경된 설정은 별도 객체로 남을 수 있으므로 구성 검토와 키 교체를 각각 완료해야 합니다. 의심스러운 라우트나 관리자 계정 변경이 확인되면 플러그인 업데이트 작업에서 사고 대응으로 전환해 관련 로그를 보존하고, 영향을 받은 계정의 세션 종료와 비밀번호 재설정, 관리자 권한 검토를 순서대로 진행합니다.

검증과 기록

완료 기록에는 사이트 URL, 플러그인 이전·이후 버전, 업데이트 시각, Mailgun 도메인, 라우트 검토 결과, API 키 교체 여부, 테스트 메일 결과를 포함합니다. 여러 WordPress 사이트를 운영한다면 동일한 Mailgun 계정과 키를 공유하는 관계도 함께 표시해야 한 사이트의 결과를 다른 사이트에 연결할 수 있습니다. 정상 발송만 확인하고 끝내지 말고 인바운드 라우트, 비밀번호 재설정 전달 경로, 관리자 변경 기록까지 검토해야 이번 취약점의 실제 위험에 맞은 검증이 됩니다.

메일 발송 체계가 여러 업무와 연결돼 있다면 변경 순서를 서비스별로 나눠 검증하는 것이 좋습니다. 회원 가입, 비밀번호 재설정, 주문·결제 알림, 관리자 경보가 같은 Mailgun 도메인과 키를 공유할 수 있으므로 하나의 테스트 메일 성공만으로 전체 기능을 정상 판정하지 않습니다. 각 업무의 발신 주소, 수신 경로, 템플릿, 반송 처리와 이벤트 기록을 대표 항목으로 확인하고, 실패가 발생하면 공개 웹 경로의 보호를 유지한 채 설정 차이를 비교합니다. 이 과정은 보안 패치가 실제 운영 중단 없이 적용됐다는 증거이면서, 예상하지 않은 라우트나 키 공유 관계를 발견하는 추가 점검 기회가 됩니다.

최종적으로 안전 판정은 세 부분이 맞아야 합니다. 첫째, 모든 대상 사이트가 2.2.1 이상이며 가능하면 최신 안정 버전을 사용해야 합니다. 둘째, Mailgun 인바운드 라우트와 API 키가 승인된 상태여야 합니다. 셋째, 업데이트 이전 노출 기간의 계정·메일 관련 기록에서 추가 대응이 필요한 징후가 없어야 합니다. 어느 하나라도 확인이 끝나지 않았다면 단순한 ‘플러그인 업데이트 완료’가 아니라 남은 검토 항목으로 기록하는 편이 정확합니다.