북한 배후 해킹조직의 PHP 보안 결함 공격 정황…어떤 서버가 취약할까

글로벌 사이버 보안업체 사이퍼마는 2026년 10월 24일, 북한 해킹조직과 연관됐을 가능성이 있는 세력이 PHP 보안 결함을 노린 정찰과 공격 준비를 해온 정황을 공개했다. 확인된 내용은 공격 대상 탐색과 공격 코드 검증으로, 실제 침입 성공이 확인됐다는 뜻은 아니다.

사이퍼마는 10월 22일(현지 시각) 비공개 데이터를 분석해 한국어를 쓰는 공격자가 익명 네트워크 I2P 채널에서 취약한 웹 자산을 찾고 전 세계를 대상으로 공격 계획을 세운 사실을 포착했다. 회사는 채널 이름을 따 이 활동을 ‘2026년 6월 민준 캠페인’으로 추적한다.

정부와 은행·금융기관을 포함해 한국, 미국, 일본 등 여러 나라의 제조·물류·항공·온라인 거래 분야가 표적에 포함됐다.

사이퍼마는 23일 원격 서버 제어 도구 사용이나 파일 업로드 정보 악용이 의심되는 활동에서 공격 출발지 IP 주소 17개를 확인했으며, 관찰 사례 중 정부·금융기관을 겨냥한 PHP2Shell 공격은 처음이라고 밝혔다.

대응이 필요한 까닭은 PHP가 워드프레스·드루팔·줌라·마젠토 같은 웹사이트 운영 도구에 널리 쓰이기 때문이다. 사이퍼마 추산으로 전 세계 웹사이트의 약 69.3%가 PHP를 사용한다. PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35보다 낮은 버전을 쓰는 조직은 취약한 상태로 분류됐다.

특히 PHP 프로그램을 아파치 웹 서버에서 직접 실행하는 환경은 위험이 크다.

사이퍼마는 보안 패치를 적용한 뒤 시스템을 재시작하고, 10월 17일부터 위협 요소를 탐지하라고 권고했다. 미국 국가안보국(NSA)은 즉시 패치하기 어려운 시스템을 안전한 조치가 가능할 때까지 인터넷에서 분리하도록 안내했다. 유럽연합 기관과 일본 정보처리추진기구도 긴급 점검과 업데이트를 촉구했다.