[WP] 워드프레스 XML-RPC 취약점과 비활성화 해야 하는 이유 2가지

Author:jarvis Hours 등록일 Hours 업데이트
공정위 광고 문구 Ver 3.1
공정위 광고 문구 Ver 3.2(모바일 전용)

워드프레스 xmlrpc.php는 보안 문제가 발생합니다. xmlrpc.php 파일을 이용한 워드프레스 사이트에 대한 무차별 대입 공격이 문제입니다.

xmlrpc.php 취약점으로 많은 워드프레스 유저에게 알려진 문제이기도 합니다. ‘XML-RPC‘의 기본 기능 및 활용성과 문제가 되는 이유에 대해 알아 보겠습니다.

TOC
1mn read
TOC
1mn read
View more

1. 워드프레스 xmlrpc.php란?

xmlrpc.php 파일은 HTTP가 전송 메커니즘으로 작동합니다. XML이 인코딩 메커니즘으로 작동하여 데이터를 전송할 수 있는 WordPress의 기능입니다. 다른 시스템(다른 블로그 or 앱)과 통신하기 위한 작업을 처리하기 위해 만들어진 파일인 것이지요. 

컴퓨터가 근처에 없을 때 모바일 장치에서 사이트에 글을 게시하기 위해 'xmlrpc.php'의 활성화 된 원격 엑세스 기능을 사용할 수 있습니다. 인터넷이 느리던 시절 워드프레스 사이트에 게시글을 작성하는데는 시간이 걸렸습니다.
이와 같은 이유로 오프라인 상태의 앱 등에서 글을 작성 후 글을 보내는 것이 XML-RPC의 목적이었던 것입니다. 다른 장치에서 로그인 하는 방법은 편리했지만 현재는 거의 사용하지 않는 기능이 되었습니다.
워드프레스

2. xmlrpc.php 취약점

XML RPC는 어떤 취약점을 가지고 있는지 알아 보겠습니다.

무차별 대입 공격으로 워드프레스 admin으로 추정되는 아이디로 로그인 시도를 합니다.. 워드프레스 관리자 페이지 주소가 정해져 있기에 수백 가지 서로 다른 암호를 대입해 사이트의 해킹하려고 할 수 있습니다.

핑백을 이용한 DDoS 공격을 시도하여 사이트를 오프라인 상태로 마비시킬 수 있습니다. xmlrpc.php의 기능이 해커에게 DDoS 공격을 할 수 있는 경유지로 이용되며 사이트 속도에 영향을 주기 때문에 SEO에 악 영향을 주게 됩니다.

핑백&트랙백이란

3. 워드프레스 XML-RPC 비활성화 방법

비활성화 하는 방법은 크게 두 가지가 있습니다. 제트팩과 같은 일부 플러그인은 xmlrpc의 기능을 사용하기 때문에 비활성화 할 경우 플러그인이 작동하지 않아 사이트의 특정 기능이 작동하지 않을 수 있습니다.

3.1 수동으로 비활성화 하기

.htaccess 파일에서 비활성화 하는 방법입니다.

# BEGIN protect xmlrpc.php
<files xmlrpc.php>
order allow,deny
deny from all
</files>
# END protect xmlrpc.php

차일드 테마 function.php 파일에 적용하는 방법입니다.

add_filter('xmlrpc_enabled', false);
차일드 테마란?

아파치 서버의 httpd.conf에서 비활성화 하는 방법입니다.

<Files xmlrpc.php>
Require all denied
#ErrorDocument 403 /403.html
</Files>

3.2 워드프레스 플러그인 사용

xmlrpc.php를 차단하는 플러그인을 사용할 수 있습니다. 워드프레스 대시보드에서 [플러그인] > [추가]로 이동한 후 ‘XML-RPC-API’를 검색하면 차단할 수 있는 많은 플러그인을 확인할 수 있습니다.

거의 단일 기능만 제공하는 플러그인을 사용하기 보단 보안 플러그인을 사용하는 것이 더 나은 선택일 수 있습니다.
‘wordfence’ or ‘ithemes security’와 같은 보안 플러그인의 기능에는 xmlrpc.php를 비활성화 하는 기능이 포함되어 있습니다.

워드프레스 xmlrpc.php 취약점-XML-RPC

4. 결론

xmlrpc 취약점으로 인해 xmlrpc의 원격 기능은 거의 사용되지 않으며, WordPress 사이트 소유자에게 장점 보다는 단점이 많습니다. 안전한 사이트 유지를 위해 Jetpack 플러그인과 같이 xmlrpc.php를 사용하는 것이 아닌 경우 비활성화 하는 것이 정답입니다.

시간이 지나면 워드프레스에서 xmlrpc.php의 기능을 삭제 할지도 모릅니다. 거의 쓸모 없는 기능이기 때문입니다. 보안이 강화된 새로운 워드프레스 API에 xmlrpc의 기능이 통합되는 것도 예상할 수 있습니다.

워드프레스 작업

ℹ️ 제휴 안내
본 사이트의 콘텐츠에는 제휴 링크가 포함되어 있습니다. 방문자가 이 링크를 통해 상품 또는 서비스를 구매하면 본 사이트는 판매처로부터 수수료를 지급받습니다. 이 과정에서 구매자가 지불하는 금액(이벤트 할인 시 금액이 내려갑니다↓)은 오르지 않습니다. 게시된 가격·할인·재고 정보는 작성 시점 기준이며 실제와 다를 수 있으므로, 구매 전 판매처에서 최종 확인하시기 바랍니다. 상품 선정과 평가는 자체 기준에 따라 작성되며, 수수료 지급 여부가 소개 순서나 평가 내용에 영향을 주지 않습니다.

Similar Posts

  • 워드프레스 점유율 43%: 전 세계 웹사이트에서 가장 많이 쓰이는 CMS

    Published:wilson

    W3Techs의 월드 와이드 웹 기술 설문조사에 따르면 워드프레스 점유율은 2025년 3월 43.4%입니다. 전 세계의 웹 사이트 43.4%가 워드프레스 CMS로 만들어 졌다는 걸 의미입니다. 시장 점유율은 61.1%로 확인되며, 2위가 쇼피파이, 3위가 윅스, 4위가 스퀘어스페이스, 5위 줌라로 확인되고 있습니다. 1~5위 순위는 오랜 시간 변동 없이 이어질 것으로 보입니다. 1. 워드프레스 점유율이 높은 이유 워드프레스는 출시…

  • [WP] 워드프레스 htaccess 기본 설정 및 WWW URL 제거 방법

    Published:jarvis

    워드프레스로 사이트를 운영하는 중에 .htaccess 파일 기본 설정이 필요할 때가 있습니다. 워드프레스 htaccess 기본 설정은 일반 사이트와 멀티 사이트 용으로 나뉩니다. FTP 또는 SSH 등으로 .htaccess 파일이 없는 경우 확인이 되면 아래 내용을 참조해서 생성하면 되겠습니다. ✅ 워드프레스 htaccess 기본 설정: 일반 사이트 워드프레스 .htaccess 기본 설정(일반 사이트)은 다음과 같습니다. ✅ .htaccess 기본…

  • [WP] Softaculous 사용 워드프레스 스테이징 사이트 만드는 방법

    Published:jarvis

    워드프레스를 사용할 때 플러그인 설치 및 업데이트 등을 포함한 여러가지 변경 사항을 안전하게 테스트 하기 위한 사이트가 필요할 수 있습니다. ‘워드프레스 스테이징 사이트‘를 만든다면 안전한 테스트가 가능합니다. 1. 워드프레스 스테이징 사이트란? 스테이징 사이트Staging Site는 변경 사항을 라이브로 만들기 이전에 테스트 할 수 있는 라이브 웹 사이트의 복사본입니다. 스테이징 사이트에서 오류 체크 후 라이브…

  • [WP] 워드프레스 500 내부 서버 오류 원인과 해결 방법

    Published:jarvis

    워드프레스를 이용한 웹 사이트를 운영하는 중 여러가지 문제가 발생할 수 있습니다. 그 중에 자주 발생하는 워드프레스 500 내부 서버 오류 원인과 해결 방법에 대해 알아 보겠습니다. 1. 워드프레스 500 내부 서버 오류Internal Server Error 원인과 해결 방법 HTTP 상태 코드 중에 하나인 워드프레스 500 에러 원인은 다양합니다. 기본적인 사항은 서버에 문제가 있으며 정확한…

  • Clearfy 설정 가이드: 워드프레스 성능 최적화

    Published:i-var uknew

    워드프레스 사이트의 속도를 높이기 위해 캐시 플러그인을 고려할 때, Clearfy Cache는 단순한 캐시 플러그인을 넘어 워드프레스 전반을 최적화하는 통합 도구로 평가받고 있습니다. 이 글에서는 Clearfy의 주요 기능과 설정 방법을 단계별로 살펴보고, 실제 사이트에서 성능을 높이기 위한 실전 팁을 함께 정리했습니다. WP Fastest Cache나 W3 Total Cache와 같이 캐시 플러그인이지만 캐시 기능보다 워드프레스 최적화…

  • WP Rocket 설정 가이드: 직관적 UI, 워드프레스 캐시 플러그인 $59의 가치

    Published:i-var uknew

    WP Rocket은 워드프레스 캐시 플러그인입니다. 이 콘텐츠는 직관적인 인터페이스와 설정으로 관리하기 쉬운 WP Rocket 기본 설정 방법을 설명합니다. 워드프레스의 속도가 중요한 이유는 무엇보다 자연 검색 및 유료 광고에서 사용자가 이탈하지 않게 하는 것이 중요하기 때문입니다. WP Rocket은 간편한 설정과 함께 추가 기능의 80% 정도가 자동으로 작동하여 별도의 복잡한 관리 없이도 높은 효과를 발휘합니다….