wp2shell: 25달러로 10시간 만에 발견한 기본 WordPress RCE

2026년 7월 17일 Searchlight Cyber는 플러그인도, 테마도, 로그인도 필요 없는 WordPress 코어의 인증 전 원격 코드 실행 체인인 wp2shell을 공개했습니다. 기본 설치 환경에 대한 익명 요청만으로 충분합니다. "이 공격에는 전제 조건이 없으며, 플러그인이 설치되지 않은 기본 WordPress 환경에서 익명 사용자가 악용할 수 있습니다"라고 해당 업체의 권고문은 밝힙니다. 이 체인은 두 개의 취약점을 결합합니다. 하나는 WordPress REST API의 배치 엔드포인트에서 발생하는 경로 혼동 취약점으로 프로젝트 권고문이 치명적으로 분류한 CVE-2026-63030이고,另一个는 WP_Query의 author__not_in 매개변수에서 발생하는 SQL 인젝션으로 중대도(moderate)로 분류된 CVE-2026-60137입니다. WordPress는 같은 날 WordPress 7.0.2를 출시했으며, 프로젝트 권고문에는 WordPress 6.9.5, WordPress 6.8.6 및 WordPress 7.1 beta2가 동일한 수정 사항을 포함한다고 기재되어 있습니다. Searchlight는 5억 개 이상의 WordPress 사이트가 있다는 추정치를 인용합니다. 이 체인의 연구자인 Adam Kues는 이번 연구가 OpenAI가 수학 문제를 위해 공개한 프롬프트를 바탕으로 구축한 GPT-5.6 Sol Ultra 실행에서 비롯되었으며, 최대 네 개의 에이전트, 탐색에 최소 6시간, 에스컬레이션에 추가로 약 4시간을 투입했고 모델 사용 비용은 대략 25달러였다고 말합니다. 이 기록은 연구 결과로 등록되어 있으며, 아카이브 자체 기준에서 높은 심각도, A등급 신뢰도, 실제 피해 기록 없음, 단일 날짜 기준으로 기재되어 있고, Orca AI Incident Archive가 그 아래에 원문 문서를 연결하여 이를 수록하고 있습니다.

공개는 조율된 방식으로 이루어졌다. Searchlight는 7월 17일 공격 메커니즘을 공개하지 않고 방어자들에게 업그레이드할 주말 시간을 주었다. Kues는 7월 20일 전체 기술 설명을 공개했다. 그때까지 연쇄 익스플로이트는 이미 독립적으로 재현된 상태였다. Searchlight에 따르면 Calif와 Hacktron은 다른 개념 증명(PoC)이 GitHub에 나타나기 전에 전체 연쇄 공격을 재구성했다. WordPress 자체의 두 보안 권고문도 동일한 수정 버전을 명시하며, CISA는 7월 21일 두 CVE를 Known Exploited Vulnerabilities 카탈로그에 추가했다.

버그 두 개, 그리고 보조를 잃은 배열들

진입점은 실수가 아니라 기능입니다. WordPress 5.6은 2020년에 배치 엔드포인트를 도입하여 클라이언트가 하나의 HTTP 요청 안에서 여러 가상 REST 요청을 보낼 수 있게 했습니다. 예를 들어 여러 게시물의 제목을 한 번에 바꿀 수 있습니다. 이 엔드포인트는 호출자의 인증 여부와 관계없이 접근할 수 있으며, 각 하위 요청은 호출자가 제공한 인증을 그대로 전달합니다. WordPress REST 경로에 대한 직접 요청은 네 단계 파이프라인을 실행합니다. 필수 및 유효한 매개변수를 확인하고, 매개변수를 정리하고, 권한 콜백을 실행한 다음, 엔드포인트 콜백을 실행합니다. 엔드포인트는 타입 가정을 위해 이 파이프라인에 의존합니다. 즉 게시물 ID는 정수이고 제목은 문자열이라는 가정입니다.

배치 API는 파이프라인을 둘로 나누어 모든 하위 요청을 하나의 루프에서 검증하고 두 번째 루프에서 실행하며, 두 배열 $matches 및 $validation을 유지하는데, 이 배열의 항목은 인덱스별로 서로 맞춰져야 합니다. class-wp-rest-server.php에서, Kues가 설명하듯이, 그 자체가 WordPress 오류인 하위 요청은 $validation에 추가된 다음 continue를 만나 $matches에 추가하는 줄을 건너뜁니다. 그때부터 모든 매치가 한 위치씩 뒤로 밀립니다. 실행 루프는 한 인덱스의 하위 요청을 해당 인덱스에 기록된 유효성 검사와 짝짓지만, 처리기는 다른 경로와 매칭되어 있습니다 — 따라서 매개변수는 한 엔드포인트의 규칙에 따라 검사된 다음 다른 엔드포인트의 코드에 의해 실행됩니다.

그것이 평범해 보이는 목록 매개변수를 인젝션으로 바꾸는 것입니다. 게시물 컬렉션 라우트는 공개 author_exclude 인수를 author__not_in. 값이 배열이면 WordPress는 absint를 각 요소에 적용하고 정렬합니다. 값이 스칼라라면, 그 값은 NOT IN ($author__not_in)이 되는 SQL 조각에 그대로 연결됩니다. 따라서 0) OR 1=1 -- 같은 문자열이 쿼리 텍스트에 들어갑니다. 정상적으로 호출하면 라우트는 이를 거부합니다. 왜냐하면 author_exclude는 정수 배열이어야 하기 때문입니다. 동기화가 깨진 배치 호출이 문자열을 통과시키는 원인입니다.

두 가지 장애물이 남아 있었고, 둘 다 이 트릭을 중첩하여 해결했습니다. 배치 API는 GET 요청을 거부하며, 인젝션은 GET 라우트에 존재합니다. 또한 요청 메서드 검증 자체가 매개변수 검증으로 구현되어 있어, 동일한 디싱크로 우회할 수 있습니다. Kues가 공개한 페이로드는 먼저 잘못 구성된 외부 하위 요청을 보내 메서드 검사를 디싱크시키고, 그다음 두 번째 하위 요청이 악성 author_exclude를 검증하지 않는 핸들러에 전달하는 내부 배치를 보낸 뒤, 이를 실행하는 GET을 보냅니다. UNION 기반 인젝션은 일반 게시물처럼 구성된 행 안에 임의의 데이터베이스 값을 반환합니다.

모델 실행: 코드베이스를 겨냥한 수학 프롬프트

Kues는 프롬프트를 처음부터 작성하지 않았다. OpenAI는 Cycle Double Cover 추측을 연구하면서 사용한 프롬프트를 공개했고, Kues는 해당 모델이 최근 그 추측을 해결했다는 글을 읽었으며 보안 커뮤니티에서는 그 프롬프트에 대해 이야기하는 사람이 없는 것 같다고 썼다. 그의 추론은 그것이 어려운 수학에 충분히 좋다면 보안 연구에도 충분히 좋을 것이라는 것이었다. 그는 이를 각색해 WordPress에 겨냥했다.

설정은 의도적으로 좁게 구성되었다. 그는 최신 안정 버전 WordPress 릴리스를 main/이라는 디렉터리에 복제했고, 그 .git 디렉터리를 삭제했으며, 모델에 변경 로그, git 이력 또는 공개 인터넷을 사용해 코드를 패치된 버전과 비교하지 말라고 지시했다. 이렇게 한 이유로 그는 신규 취약점 발견에서는 이력이나 웹을 참조하는 것이 토큰 낭비라고 밝혔다. 빈 third_party/ 디렉터리를 제공하여, 모델이 체인에 WordPress 아래 라이브러리의 버그가 필요하다고 판단할 경우 PHP나 MySQL 소스 같은 의존성을 복제할 수 있게 했다. 작업은 MySQL에서의 일반적인 프로덕션 배포 환경에서 최대 네 개의 에이전트와 최소 6시간을 들여 수행하는 사전 인증 RCE로 명시되었다. Kues는 모델이 그렇지 않으면 "부정행위"를 하기 때문에 구성 요구 사항을 명시한다고 썼다. 즉, 극히 발생 가능성이 낮은 구성 옵션을 선택하거나 공격자가 결코 달성할 수 없는 전제 조건을 조작하는 식이다.

실행 출력에서 나온 것은 인증 전 SQL 인젝션 주장이었다. 쿠스는 이를 의심했다. 그는 워드프레스가 역사상 가장 많이 감사받은 대상 중 하나이며 그 10년 동안 의미 있는 인증 전 취약점이 없었다고 썼다. 그는 원격 서버에 표준 워드프레스 인스턴스를 설치하고 모델에게 관리자 이메일을 훔쳐 달라고 요청했다. 몇 분 안에 모델은 그가 인스턴스를 설정할 때 사용한 주소를 출력했다. 이어 읽기 전용 인젝션을 권한 상승할 수 있는지 물었고, 약 네 시간 뒤 모델은 가능하다고 답했다 — 비밀번호를 크랙하지 않고 오프라인 연산도 없이 관리자 권한까지 가능하다고.

그가 스스로 계산한 비용은 주간 사용 허용량의 50%였고, 200달러 구독료를 기준으로 비례 배분하면 약 25달러에 해당한다. 이는 10시간 조금 넘게 만들어낸 익스플로잇에 대한 비용이다. 인간이 투입된 부분은 공짜가 아니었다. Kues는 다음 날 모델이 한 일을 풀어내는 데 시간을 보냈고, 포스트 익스플로잇 작업은 생성보다 이해하는 데 훨씬 오래 걸렸다고 썼다. 그의 평가는 유별나게 직설적이며 범위를 좁혀 두고 있다. "나는 일반적인 주장은 하지 않지만, AI 없이 어떤 보안 연구자도 이 익스플로잇 체인을 10시간 안에 발견하고 완료할 수 없었다고 완전히 확신할 수 있다."

읽기 전용 SELECT에서 관리자로

에스컬레이션은 기록에서 가장 중요한 부분입니다. 데이터베이스 읽기가 서버 통제권으로 바뀌는 지점이 바로 여기이기 때문입니다. Kues의 설명은 이를 여섯 단계의 연속된 동작으로 전개하는데, 각 단계는 평범한 WordPress 기능을 다른 기능에 맞서 활용합니다.

먼저, 인메모리 게시물 캐시를 오염시킵니다. WordPress는 WP_Post 객체의 요청별 캐시를 유지하므로, 한 요청에서 동일한 게시물을 여러 번 참조하더라도 데이터베이스 왕복은 한 번만 발생합니다. SQL 인젝션으로 게시물을 위조할 수 있기 때문에 공격자는 캐시에 정확히 무엇이 저장되는지 제어할 수 있습니다. 하지만 그렇게 위조된 게시물은 데이터베이스의 행이 아니며, 캐시는 요청과 함께 사라집니다.

둘째, 조작된 게시물을 실제 행으로 바꾸십시오.워드프레스의 임베드 기능은 확인된 임베드를 데이터베이스에 다음과 같은 유형의 게시물로 캐시합니다: oembed_cache. 상대 경로로 로컬 게시물을 임베드하면, 예를 들어 [embed]/?p=S[/embed], 워드프레스는 HTTP 가져오기를 건너뛰고 참조된 게시물이 존재하는지 전혀 확인하지 않아 행이 생성됩니다. 서로 다른 쿼리 문자열 토큰을 사용한 이런 임베드 세 개는 서로 다른 세 개의 캐시 해시를 생성하며, 공격자가 작업할 여러 행을 확보하는 방식이 바로 이것입니다.

셋째, 고정된 채로 남는 단 하나의 필드를 우회하십시오. 게시물의 메모리 내 버전과 데이터베이스 버전이 일치하지 않을 때, WordPress는 임베드 출력에서 post_content를 명시적으로 설정하는 호출로 이들을 조정합니다. 게시물에 관한 모든 것은 공격자가 제어할 수 있지만 콘텐츠만은 예외이며, 콘텐츠는 바로 customize_changeset이 대기 중인 테마 및 사이트 변경 사항의 JSON을 저장하는 데 사용하는 필드입니다.

넷째, 순환 가젯입니다. 게시물에는 부모가 있으며, WordPress는 순환을 거부합니다: wp_insert_post_parent 필터는 트리를 따라 올라가다가 루프를 발견하면 post_parent를 0으로 설정하는 업데이트를 호출합니다. 그 호출은 post_content를 덮어쓰지 않으므로, 조작된 인메모리 버전은 조정 후에도 살아남습니다 — JSON이 그대로 유지된 변경 집합이 실제 행으로 뒷받침됩니다.

다섯째, 관리자의 권한을 빌립니다. 상태는 향후 실행 예약이라고 하지만 날짜가 과거인 변경 집합은 즉시 적용됩니다. JSON의 각 항목은 user_id를 지정하며, Kues의 체인에 있는 항목은 user_id 1, 즉 관리자를 지정하므로 WordPress는 해당 변경을 적용하기 위해 일시적으로 그 신원을 채택합니다. 첫 번째 변경은 nav_menus_created_posts에 대한 무해해 보이는 업데이트입니다.

여섯째, 해당 신원으로 요청을 리플레이합니다.게시물을 게시하면 동적으로 이름이 지정된 액션이 발생합니다: {status}_{post_type}. 게시물이 위조되었기 때문에 해당 상태와 유형은 무엇이든 될 수 있으며, 여기에는 parse 및 request가 포함될 수 있으며, 이는 parse_request 훅을 생성하고 빌려온 관리자 신원이 여전히 유지되는 동안 요청 파이프라인을 처음부터 다시 시작합니다. 원래 배치 요청에는 새 관리자를 생성하는 하위 요청이 포함되어 있었습니다. 그 하위 요청은 게스트로서 첫 번째 패스에서 실패했고 리플레이 시에는 성공합니다. 그런 다음 공격자는 해당 새 계정으로 로그인하고 ZIP 파일에서 백도어 플러그인을 업로드하며, 이는 코드 실행입니다.

이 기법에는 조건이 붙어 있습니다. Hacker News는 Cloudflare를 인용해 CVE-2026-63030이 영구 객체 캐시가 사용되지 않을 때에만 원격 코드 실행을 야기한다고 보도했습니다. 주입 자체는 WordPress 6.8부터 존재하지만 전체 체인은 6.9 이상이 필요합니다. 기본 설치에는 영구 객체 캐시가 없으며, 이는 Searchlight의 "사전 조건 없음"이라는 표현과 Cloudflare의 단서가 서로 다른 방향에서 동일한 기본 사례를 설명하는 이유입니다.

1차 문서가 입증하는 것

WordPress 자체의 보안 권고문은 가장 강력한 뒷받침입니다. 이는 공급업체가 그 메커니즘을 인정하고 수정 사항을 배포한 것이기 때문입니다. 치명적 등급의 GHSA-ff9f-jf42-662q는 WordPress 6.9 이상에서 REST API 일괄 경로 혼동 취약점을 설명하며, 이 취약점은 주입과 결합하여 코드 실행에 도달하고, Assetnote 및 Searchlight Cyber의 Adam Kues에게 공로를 돌립니다. 중간 등급의 GHSA-fpp7-x2x2-2mjf는 다음을 설명합니다: author__not_in 주입(WordPress 6.8 이상). 또한 두 문제 모두 WordPress 7.0.2, WordPress 6.9.5, WordPress 6.8.6 및 WordPress 7.1 beta2에서 수정되었다고 밝힙니다. 두 CVE에 대한 NVD 기록은 NIST가 아니라 WPScan CNA가 점수를 매겼으며, CVE-2026-63030에는 벡터 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H와 함께 9.8점을, CVE-2026-60137에는 AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N과 함께 5.9점을 기록합니다 — 첫 번째 경우는 네트워크에서 도달 가능하고 권한이 필요 없는 버그이며, 두 번째 경우는 높은 공격 복잡성을 요구하고 기밀성 영향만을 초래하는 버그입니다. 이 항목에 대한 아카이브 자체의 심각도 필드는 높음으로 표시되지만, WordPress는 해당 배치 취약점을 치명적으로 표시합니다. 이 둘은 전체 체인과 단일 구성 요소에 적용되는 별개의 척도이지, 버그 자체에 대한 불일치가 아닙니다.

CISA의 카탈로그 항목은 NVD의 보강 필드에 반영된 대로 2026년 7월 21일에 추가되었으며, CVE-2026-63030의 조치 기한은 7월 24일, CVE-2026-60137의 조치 기한은 8월 4일입니다. CISA는 첫 번째 항목을 "WordPress Core Interpretation Conflict Vulnerability"라고, 두 번째를 "WordPress Core SQL Injection Vulnerability"라고 명명합니다. Searchlight는 또한 운영자가 스캐너 시그니처를 기다리지 않고 인스턴스를 테스트할 수 있도록 wp2shell.com에 공개 검사기를 게시했습니다.

{{1}}독립 재현은 Searchlight 자체에 의해 문서화되었으므로, 이는 제3자에 관한 주장이지 제3자의 설명은 아닙니다. 7월 20일 자 글에 따르면 Calif와 Hacktron은 다른 개념 증명이 GitHub에 나타나기 전에 전체 체인을 재구성했습니다.{{/1}} 독립적으로 검증 가능한 것은 그 효과입니다 — 개념 증명, 익스플로잇 트래픽, 공급업체 텔레메트리가 며칠 안에 나타났으며, 이는 아래에서 다룹니다.

주장되지만 입증되지 않은 것은 무엇인가?

하나의 인젝션에 대한 두 건의 공로 인정은 공개 기록에서 서로 맞아떨어지지 않는다. WordPress의 CVE-2026-60137 보안 권고문은 해당 결함이 "TF1T, dtro, haongo가 팀으로 발견하고 책임감 있게 공개했다"고 명시한다. Searchlight의 설명은 동일한 인증 전 인젝션을 자사의 모델 실행에서 드러난 것으로 제시하며, 그 팀을 언급하지 않는다. WordPress 권고문은 Kues를 배치 경로 혼동에 대해서만 공로로 인정하며, 모델은 언급하지 않는다. 어느 문서도 이 중복을 설명하지 않으며, 이 기사가 찾아낸 그 무엇도 이를 해결하지 못한다 — 두 건이 동일한 버그에 대한 독립적 발견이었을 가능성은 배제되지 않고, 한 보고서가 나중의 재발견이라는 가능성도 입증되지 않는다. 기록은 이를 판정하지 않으며, 이 기사도 마찬가지다.

Searchlight의 7월 20일 게시물에서 헤드라인 수치는 본문 내용으로 뒷받침되지 않는다. 헤드라인은 "익스플로잇 브로커들이 WordPress RCE에 50만 달러를 지불한다. 나는 GPT5.6 Sol Ultra와 25달러로 하나를 찾았다"라고 되어 있다. 본문은 25달러와 10시간을 구체적으로 기술하고 있지만, 브로커 이름도, 제안도, 주고받은 연락도, 50만 달러라는 수치의 출처도 담고 있지 않다. 이 글에 대해 확인된 독립적인 보도 중 wp2shell에 대해 실제 지불되었거나 제안된 가격을 뒷받침하는 자료는 없다. 50만 달러는 확립된 시장 가격이 아니라 헤드라인의 프레이밍으로 읽어야 한다.

아카이브 항목 자체의 범위는 그 주변 이야기보다 좁다. 이 항목은 공개 당일의 연구 결과를 기록하고, 실제 피해가 없음을 표시하며, 날짜는 2026년 7월 17일 단 하루로 되어 있다. 그렇다고 이후에 아무 일도 일어나지 않았다는 주장은 아니다. 권고가 나온 뒤 몇 시간 안에 익스플로잇 트래픽이 보고되었고, CISA는 4일 뒤 두 CVE를 모두 목록에 올렸다. 이 플래그는 항목이 설명하는 내용, 즉 발견과 조정된 공개를 포괄하며, 이후의 익스플로잇은 아래에서 다른 당사자들이 자신들의 근거로 문서화한다.

보안 권고 이후 익스플로잇

watchTowr의 수석 보안 연구원 Jake Knott은 The Hacker News에 "토요일 이른 새벽(UTC) 무렵에는 성공적인 익스플로잇이 이미 활발히 진행 중이었으며, 처음에는 공개된 익스플로잇 코드를 사용해 해시된 자격 증명을 유출했고, 추가 세부 정보가 공개되면서 원격 코드 실행이 뒤따랐다"라고 말했습니다. 같은 보고서는 스위스, 독일, 영국, 인도네시아, 리투아니아, 네덜란드, 싱가포르에서 온 13개의 고유 IP 주소를 CVE-2026-63030의 익스플로잇과 연결하는 KEVIntel 텔레메트리를 인용하고, KEVIntel 창립자 Ryan Dewhurst가 요청이 공개적으로 이용 가능한 개념 증명과 일치했으며 블라인드, UNION 기반, 불리언 기반 페이로드가 모두 사용되었다고 말한 내용을 인용했습니다.

7월 20일 발표한 Wiz의 연구원 Shahar Dorfman과 Gili Tikochinski는 그 규모를 수치로 제시했습니다. WordPress를 사용하는 조직의 60%는 CVE들이 공개된 당시 최소 하나의 취약한 인스턴스를 보유했고, 25%는 취약한 서버를 인터넷에 노출하고 있었으며, 패치가 시작되면서 24시간 이내에 그 비율이 50%와 10%로 떨어졌습니다. 그들은 관리자 설치 프로그램을 통한 악성 플러그인 업로드, users 엔드포인트에 대한 사용자 열거, 로컬 파일 포함 시도 대상: wp-config, 그리고 HTTP 200을 반환하는 관리자 패널 접근 — 탐색이 아닌 성공적인 로그인의 특징 — 을 기록했습니다. 그들이 발견한 악성코드는 최소한 한 줄짜리 PHP 백도어부터 파일 관리, 데이터베이스 접근, 포트 스캔 및 권한 상승 모듈을 갖춘, CMSmap이라는 합법적인 WordPress 보안 플러그인으로 위장한 150KB 웹셸까지 아우렀습니다.

Wiz는 또한 도출할 수 있는 결론에 대한 한계를 기록했다. 탈취 후 공격(post-exploitation) 없이 대규모 스캔을 하는 것은 흔한 일이었으며, 이는 기회주의적 대량 스캔이나 합법적인 보안 스캔과 부합하는 양상이었다. 그리고 해당 업체는 측면 이동(lateral movement)이나 데이터 유출(data exfiltration)을 확인하지 못했다고 밝혔다. 이는 한 업체의 텔레메트리가 보여준 것에 대한 진술일 뿐, 아무것도 탈취되지 않았다는 결론은 아니다.

이후 무엇이 바뀌었고, 무엇이 미해결로 남았나요?

운영자 입장에서 대응 경로는 짧았습니다. WordPress 7.0.2, WordPress 6.9.5 또는 WordPress 6.8.6으로 업데이트하는 것이 해결책입니다. 즉시 업데이트할 수 없는 사이트를 위한 Searchlight의 긴급 대안은 배치 API에 대한 익명 접근을 차단하는 것이었습니다. 즉, REST API에 대한 익명 접근을 전면 차단하는 플러그인을 설치하거나, /wp-json/batch/v1 및 ?rest_route=/batch/v1를 웹 애플리케이션 방화벽에서 차단하는 것입니다. 회사는 두 방법 모두 사이트의 정상적인 사용에 영향을 줄 수 있으며 업데이트가 적용될 때까지 임시 조치로 취급해야 한다고 경고했습니다. wp2shell.com의 공개 검사기는 인스턴스를 직접 테스트합니다. CISA의 카탈로그 항목은 준수 기한을 추가했습니다: CVE-2026-63030은 7월 24일까지, CVE-2026-60137은 8월 4일까지 조치해야 합니다.

연구 질문에서 해결되지 않은 부분은 모델이 운영자에 비해 실제로 무엇을 기여했는가이다. Kues는 그 분담을 정확히 설명한다. 모델은 약 10시간에 체인을 생성했고, 그것을 이해하는 데는 생성했던 시간보다 더 오래 걸렸다. 그는 일반화된 주장은 하지 않겠다며, 10시간짜리 결과는 인간이 도움 없이 도달할 수 없었다고만 말한다. 프롬프트 자체는 비밀이 아니다. 그것은 OpenAI가 공개한 것에서 파생되었고, Searchlight는 버전 이력을 무시하라는 지시와 익스플로잇이 일반적인 프로덕션 구성에서 작동해야 한다는 요구를 포함해 그 구조를 분석글에 재현했다. 그 방법이 다른 코드베이스에 적용되는지는 Kues가 자신이 대답하지 않는다고 말한 바로 그 질문이며, 두 번째 실행은 공개되지 않았다.

따라서 기록이 확립하지 못한 부분은 좁지만 중대하다. 즉, 공로를 인정받은 두 당사자 중 어느 쪽이 먼저 인젝션을 발견했는지, 어떤 브로커라도 헤드라인에 나온 수치를 실제로 지불했는지, 그리고 Wiz가 관찰한 웹셸이 자신이 침투한 사이트에서 실제로 무엇을 가져갔는지(무언가를 가져갔다면)이다. 마지막 쟁점에 관해 공개된 유일한 발언은 Wiz의 것으로, 측면 이동이나 데이터 유출을 식별하지 못했다는 것이다. 이는 한 관점에서 얻은 증거의 부재이며, 그 자체로 그렇게 제시된 것이다.