[PHP 취약점 파장] 北 해킹조직, PHP 취약점 노려 공격 준비 정황

[아이뉴스24 안세준 기자] 북한 해킹조직 라자루스와 연계된 것으로 의심되는 공격자들이 프로그래밍 언어 PHP의 보안 취약점을 악용해 사이버 공격을 준비하는 정황이 포착됐다.

24일 글로벌 사이버보안 기업 사이퍼마가 공개한 '사이퍼마 위협 권고'에 따르면, 한국어를 사용하는 위협 행위자들이 PHP 취약점을 가진 모든 웹 접근 대상 자산에 글로벌 정찰·공격 계획을 조율하고 있다.

이들이 노린 취약점은 'PHP2Shell'로 불리는 CVE-2026-109618과 CVE-2026-109619다. 두 취약점 모두 공통취약점평가시스템(CVSS) 기준 위험도가 10점 만점에 9.2점으로 평가됐다. 이를 악용하면 별도의 인증 없이 원격으로 서버 내 명령을 실행할 수 있다.

사이퍼마는 해당 활동을 'June 2026 Minjun' 캠페인으로 분류하고 북한 라자루스 그룹과 연계됐을 가능성을 제기했다. 그러면서 라자루스와의 연관성에 대한 신뢰도는 '중간' 수준으로 평가했다. 다만 실제 침해 사례가 확인된 건 아니다.

사이퍼마는 "이 캠페인이 글로벌 정찰 및 공격 계획을 적극적으로 진행하고 있음을 높은 확신으로 평가한다"면서도 "운영자가 북한 라자루스 그룹 생태계와 연계돼 있다고 중간 정도의 확신을 가지고 있다"고 밝혔다.

공격 대상에는 한국과 미국, 일본, 호주, 대만, 인도, 싱가포르 등이 포함됐다. 산업별로는 정부기관과 은행·금융회사를 비롯해 제조업, 물류·해운업, 공항·항공 분야, 온라인 거래 플랫폼 등이 거론됐다.

실제 PHP 취약점을 악용하려는 시도도 해외에서 관측됐다. 사이퍼마는 지난 23일 약 8시간 동안 웹셸 관련 공격 등을 시도한 것으로 의심되는 IP 주소 17개를 추가 확인했다고 밝혔다. 이들 IP와 북한 해킹조직의 직접적인 연관성은 확인되지 않았다.

국내에서도 대응이 진행 중이다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 지난 22일 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 상향하고 관련 기업과 기관에 긴급 보안 업데이트를 권고했다.