북한 해킹조직 연계 가능성 거론된 PHP 취약점 공격 준비 정황, 근거는 어디까지 확인됐나

전 세계 웹사이트에서 널리 쓰이는 PHP의 취약점을 이용한 사이버 공격 준비 정황이 포착됐다.

2026년 10월 24일 보안업계에 따르면 싱가포르 사이버보안 기업 사이퍼마는 폐쇄형 네트워크 I2P에서 한국어를 사용하는 조직원들이 공격을 모의한 흔적을 확인했다.

사이퍼마는 북한 라자루스 그룹과의 연계 가능성을 제기했지만, 직접 연결 증거는 확인되지 않았다.

논의 대상은 PHP2Shell(CVE-2026-109618, CVE-2026-109619) 취약점이다.

공격자는 로그인이나 별도 인증 없이 조작된 웹 요청만으로 서버에서 원격 명령을 실행할 수 있다.

이 취약점은 공통취약점평가시스템(CVSS)에서 10점 만점에 9.2점을 받아 ‘치명적’ 등급으로 분류됐다.

사이퍼마는 조직원들이 이 결함으로 전 세계 웹 서버를 공격하려고 사전 정찰과 구체적인 계획을 논의했다고 밝혔다.

계획에서 우선 표적으로 거론된 곳은 정부기관과 은행 등 금융기관이다.

제조업, 물류·해운업, 공항·항공 분야, 온라인 거래 플랫폼, 무역회사와 건설사도 대상에 포함됐다.

한국·미국·일본·호주·대만·인도·싱가포르와 아랍에미리트(UAE), 사우디아라비아, 유럽연합(EU) 등이 공격 지역으로 언급됐다.

사이퍼마는 이 활동을 ‘June 2026 Minjun’ 캠페인으로 명명했다.

사이퍼마는 공개된 취약점 공략 코드(PoC)를 모아 자체 인공지능(AI) 모델로 우선순위를 매기고, 실제 사용 전에 통제된 환경에서 검증한 정황도 파악했다고 밝혔다.

라자루스 연계 근거로는 한국어 공격 지시와 정부·금융기관 중심의 표적 선정, 과거 라자루스가 써온 웹셸 방식과 유사한 전술이 제시됐다.

다만 라자루스와 직접 연결되는 악성코드나 공격 인프라의 중복 증거는 확인되지 않았고, 사이퍼마의 연계 분석 신뢰도는 ‘중간’ 수준이다.

PHP 개발팀은 2026년 10월 21일 취약점을 수정한 긴급 보안 업데이트를 배포했다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 22일 ‘주의’ 경보를 발령하고 기업에 보안 대응 수칙을 안내했다.

한 보안 전문가는 공개된 정보만으로 북한 공격조직의 개입 여부를 독립적으로 검증하기 어렵다며, 취약점 대응과 배후 판단을 구분해야 한다고 지적했다.