라자루스 연계설 나온 PHP 취약점 공격 준비 정황, 배후는 얼마나 확인됐나?

10월 24일 보도에 따르면 싱가포르 사이버보안 기업 사이퍼마(CYFIRMA)가 PHP 취약점을 악용한 사이버 공격 준비 정황을 포착했다.

한국어를 사용하는 조직원들이 익명성이 보장되는 폐쇄형 네트워크 I2P에서 공격 계획을 논의한 것으로 파악됐다.

PHP는 전 세계 웹사이트 상당수가 사용하는 서버용 프로그래밍 언어다.

이번에 지목된 취약점 ‘PHP2Shell’(CVE-2026-109618, CVE-2026-109619)은 로그인이나 인증 없이 조작된 웹 요청만으로 서버에서 원격 명령을 실행할 수 있다.

공통취약점평가시스템(CVSS) 점수는 10점 만점에 9.2점으로 ‘치명적’ 등급이다.

사이퍼마는 전 세계 웹 서버를 겨냥한 사전 정찰과 구체적인 공격 계획 논의를 확인하고, 관련 활동을 ‘June 2026 Minjun’ 캠페인으로 명명했다.

사이퍼마가 파악한 계획에서 정부기관과 은행 등 금융기관은 최우선 표적이었다.

제조업, 물류·해운업, 공항·항공 분야, 온라인 거래 플랫폼, 무역회사와 건설사도 대상에 포함됐다.

공격 우선 지역으로는 한국·미국·일본·호주·대만·인도·싱가포르·아랍에미리트(UAE)·사우디아라비아·유럽연합(EU)이 거론됐다.

조직원들이 공개된 취약점 공략 코드(PoC)를 수집해 자체 인공지능(AI) 모델로 우선순위를 정하고, 통제된 환경에서 실제 사용 전에 검증한 정황도 보고됐다.

라자루스와의 직접 연계는 확인되지 않았다.

사이퍼마는 한국어로 된 공격 지시, 정부·금융기관 중심의 표적 선정, 과거 라자루스가 사용한 웹셸 방식과 유사한 전술을 근거로 북한 연계 가능성을 제기했지만, 신뢰도는 ‘중간’으로 평가했다.

라자루스와 연결되는 악성코드나 공격 인프라의 중복 증거도 확인되지 않았다.

한 보안 전문가는 취약점의 위험성과 공격 준비 정황에는 우선 대응하되, 북한 조직의 개입 여부는 추가 검증이 필요하다고 지적했다.

PHP 개발팀은 2026년 10월 21일 취약점을 수정한 긴급 보안 업데이트를 배포했다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 다음 날 ‘주의’ 경보를 발령하고 기업에 보안 대응 수칙을 안내했다.