FrontierStack의 WordPress 지원: 업데이트, 무결성, 그리고 침입 징후 검사

게시일 2026-11-03

침입당한 WordPress 사이트의 대부분은 교묘한 공격에 당한 것이 아닙니다. 플러그인에 공개된 취약점이 있었고, 수정이 몇 주 동안 적용되지 않았으며, 그 뒤 심어진 백도어가 아무도 보지 않는 사이에 남아 있었던 것이 흔한 경위입니다. FrontierStack은 WordPress를 다른 인프라와 같은 방식으로 다룹니다. 모든 서버의 모든 사이트를 하나의 패널에서 보고, 필요한 업데이트를 적용하며, 문제가 있으면 알림으로 알려 줍니다. 2.15에서는 그동안 빠져 있던 부분, 즉 사이트가 이미 침해되지 않았는지 확인하는 기능이 추가됩니다.

하나의 패널로 모든 사이트를, 사이트에 설치할 것은 없이

WordPress 패널을 열고 호스트(이 Mac 또는 FrontierStack이 SSH로 관리하는 모든 서버)를 선택한 다음 사이트 스캔을 선택합니다. 일반적인 웹 루트 아래에서 모든 wp-config.php를 찾아 각 사이트의 WordPress, PHP, 데이터베이스 버전을 나열합니다. 모든 작업은 WordPress 공식 명령줄인 WP-CLI로 실행됩니다. 서버에 없으면 서명을 확인한 뒤 고정된 릴리스를 패널에서 설치합니다.

사이트 안에 FrontierStack 플러그인을 넣지 않는 것은 의도된 설계입니다. 플러그인은 침입자가 끄거나, 고치거나, 거짓으로 답하게 만들 수 있습니다. SSH를 통해 외부에서 실행하는 검사는 그럴 수 없습니다.

사이트를 망가뜨리지 않고 최신 상태 유지

각 사이트에는 대기 중인 코어, 플러그인, 테마 업데이트가 표시됩니다. 모두 업데이트는 먼저 데이터베이스를 내보냅니다. 잘못된 플러그인 업데이트로 사이트가 멈출 수 있고, 내보낸 파일이 되돌아가는 수단이기 때문입니다. 플러그인을 하나씩 업데이트할 수도 있습니다. 멀티사이트 네트워크는 하위 사이트를 나열합니다. 무결성 검사는 WordPress 코어 파일을 WordPress.org가 공개하는 체크섬과 대조합니다. 변조된 설치를 찾는 가장 빠른 방법입니다.

2.15 새 기능: 설치된 모든 버전을 알려진 모든 취약점과 대조

무료 Wordfence Intelligence API 키를 추가하면 FrontierStack이 WordPress 취약점 데이터베이스 전체를 하루에 한 번 다운로드하고, 모든 사이트의 WordPress 코어, 플러그인, 테마를 Mac에서 대조합니다. 파일에 여전히 접근할 수 있는 비활성 플러그인도 포함됩니다. 사이트별 할당량은 없으며, 공개된 수정이 없는 항목은 업데이트로 해결할 수 없으므로 눈에 띄게 표시합니다. 키는 상업적 사용도 무료이며 wordfence.com 계정의 Integrations에서 만듭니다. WPScan 토큰도 계속 사용할 수 있지만 무료 등급은 하루 25회 요청입니다.

2.15 새 기능: 이 사이트는 이미 침입당하지 않았을까

보안 검사는 침입이 남기는 흔적을 찾습니다. 사이트는 아무것도 변경하지 않습니다.

• 모든 플러그인을 WordPress.org와 대조합니다. 플러그인 폴더에서 수정되거나 추가된 파일은 백도어가 가장 흔히 숨는 곳입니다.
• 새 관리자와 필수(must-use) 플러그인. 첫 검사에서 관리자와 필수 플러그인을 기록하고, 이후 검사에서 새로운 항목을 알립니다. 필수 플러그인은 모든 페이지에서 로드되고 wp-admin에서 끌 수 없으므로 공격자가 선호합니다.
• 사이트 주소 변경. 탈취된 사이트가 방문자를 다른 곳으로 보내는 방법입니다.
• 업로드 폴더의 PHP 파일. 원래 이미지와 문서만 있어야 하는 곳입니다.
• 누구나 내려받을 수 있는 파일. 웹 루트에 남은 wp-config.php 백업이나 SQL 덤프, 공개된 debug.log입니다.
• 보안 문제로 WordPress.org가 폐쇄한 플러그인. 이런 플러그인에는 앞으로도 업데이트가 나오지 않습니다.
• 관리자나 편집자 역할을 주는 공개 등록.

또한 강화가 부족한 부분을 경고로 표시합니다. 켜져 있는 내장 파일 편집기, 방문자에게 표시되는 PHP 오류, 암호 추측에 응답하는 XML-RPC입니다. 검사는 플러그인과 테마를 끈 상태로 WP-CLI를 실행하므로, 침해된 플러그인이 스스로를 대신 답할 수 없습니다. 새 관리자가 본인 측 계정임을 확인하면 정상으로 승인으로 기준을 갱신합니다.

이미 Wordfence를 사용 중이라면, 그 검출 결과도 여기에

사이트에 Wordfence가 설치되어 있으면 FrontierStack이 사이트 데이터베이스에서 스캔 결과를 읽습니다. 심각도별 미해결 문제, 마지막 스캔 완료 여부, 지난 24시간의 로그인 실패, 차단 중인 주소 수입니다. 사이트를 보호하는 것은 여전히 Wordfence입니다. FrontierStack은 아무도 읽지 않는 메일함에 도착하는 이메일 대신, 다른 정보와 나란히 확실하게 알려 줍니다. 심각(critical) 및 높음(high) 문제는 알림을 발생시킵니다.

실제로 도착하는 알림

사이트에서 알림으로 감시를 선택하면 대기 중인 업데이트, 실패한 무결성 검사, 알려진 취약점, 보안 검사에서 발견된 문제를 알려 줍니다. 알림은 다른 서버에 사용하는 것과 같은 경로로 도착합니다. 감시 중인 사이트의 보안 검사는 최대 1시간에 한 번 실행됩니다.

예전에는 SSH가 필요했던 작업

• 모든 호스트에 새 사이트 설치: WordPress 다운로드, wp-config.php, 데이터베이스, 관리자 계정을 한 번에 준비합니다.
• 잠긴 관리자를 위한 사용자 및 암호 재설정. 새 암호는 명령줄이나 로그에 남지 않습니다.
• 도메인 간 사이트 이동을 위한 검색-치환(dry-run 필수). 원시 SQL 치환은 직렬화된 PHP를 손상시키지만 WP-CLI는 올바르게 다시 씁니다.
• 스테이징으로 복제. 별도의 데이터베이스를 쓰고 URL을 다시 쓰며 검색 엔진의 색인을 억제합니다. 프로덕션에는 절대 쓰지 않습니다.
• 데이터베이스 내보내기와 최적화, 그리고 엄선된 플러그인(예약, 커머스, 메일 전송, 백업, 캐싱, 보안)의 원클릭 설치.
• GoDaddy에서 옮겨 온 사이트에서는 다른 곳에서 빈 화면을 일으키는 GoDaddy 전용 파일을 찾아 사본을 남기고 제거합니다.

하지 않는 일

보안 검사는 찾아서 보고할 뿐, 침해된 사이트를 정리하지는 않습니다. 그때는 여전히 정상 백업에서 복원하고 모든 암호를 바꿔야 합니다. FrontierStack에는 SSH와 WP-CLI가 필요하므로 둘 다 제공하지 않는 관리형 호스트는 지원하지 않습니다. 프리미엄 플러그인은 WordPress.org와 대조할 수 없으므로 알 수 있도록 목록으로 표시합니다. Wordfence 테이블 읽기는 Wordfence 자체 형식에 의존하므로, 향후 릴리스에서 형식이 바뀌면 그 부분은 잘못된 "이상 없음"이 아니라 빈칸으로 표시됩니다.

시작하기

FrontierStack 2.15로 업데이트하고 WordPress를 열어 사이트 스캔을 선택한 다음, 각 사이트에서 보안 검사를 실행하십시오. 이어서 취약점 피드용 Wordfence Intelligence 키를 추가하고, 중요한 사이트에서 알림으로 감시를 선택하십시오. FrontierStack에서 WordPress를 운영하는 방법은 WordPress 페이지에서 자세히 볼 수 있습니다.

Vulnerability data from Wordfence Intelligence, © Defiant Inc. Includes CVE® data © The MITRE Corporation.