세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP의 보안 취약점을 악용한 사이버 공격을 준비하는 정황이 포착됐다. 한국어를 사용하는 조직원들이 정부와 금융기관 등을 주요 표적으로 논의한 것으로 파악됐다. 북한 배후 해킹조직인 라자루스 그룹과의 연관성도 제기됐지만, 직접적인 연계 여부는 아직 확인되지 않았다.
24일 보안업계에 따르면 싱가포르 사이버보안 기업 사이퍼마(CYFIRMA)는 익명성이 보장되는 폐쇄형 네트워크 'I2P'에서 한국어를 사용하는 조직원들이 PHP 취약점을 이용한 사이버 공격을 모의하는 정황을 포착했다.
이들은 최근 발견된 PHP 취약점 'PHP2Shell'(CVE-2026-109618, CVE-2026-109619)을 이용해 전 세계 웹 서버를 공격하기 위한 사전 정찰과 공격 계획을 논의한 것으로 파악됐다.
PHP2Shell은 공격자가 별도의 로그인이나 인증 절차 없이 조작된 웹 요청을 통해 서버에서 원격으로 명령을 실행할 수 있는 취약점이다. 공통취약점평가시스템(CVSS)에서 10점 만점에 9.2점을 받은 것으로 알려졌다.
사이퍼마가 파악한 계획에는 정부기관과 은행 등 금융기관이 우선 표적으로 거론됐다. 제조업과 물류·해운업, 공항·항공 분야, 온라인 거래 플랫폼, 무역회사, 건설사 등도 공격 대상에 포함됐다.
지역별로는 한국과 미국, 일본, 호주, 대만, 인도, 싱가포르, 아랍에미리트(UAE), 사우디아라비아, 유럽연합(EU) 등이 공격 대상 지역으로 언급됐다.
공격 준비 과정에서 인공지능(AI)을 활용한 정황도 확인됐다. 사이퍼마는 관련 세력이 공개된 취약점 공략 코드(PoC)를 수집한 뒤 자체 AI 모델로 우선순위를 정하고, 실제 사용에 앞서 통제된 환경에서 검증하는 방식으로 공격을 준비하고 있다고 설명했다.
사이퍼마는 이번 활동을 'June 2026 Minjun' 캠페인으로 명명하고, 관련 세력이 북한 라자루스 그룹과 연계됐을 가능성을 제기했다. 다만 북한 연계 여부에 대한 분석 신뢰도는 '중간'(moderate) 수준으로 평가했다.
다만 현재 공개된 정보만으로 공격 준비 세력을 북한 라자루스 그룹과 직접 연결하기는 어렵다는 지적도 나온다. 사이퍼마가 제시한 북한 연계 근거는 한국어로 이뤄진 공격 지시와 정부·금융기관 위주의 표적 선정, 과거 라자루스가 사용한 웹셸 방식과 유사한 공격 전술 등에 그쳤다. 라자루스 그룹과 직접 연결되는 악성코드나 공격 인프라의 중복 증거는 확인되지 않은 것으로 알려졌다.
보안 업계 관계자는 “취약점 자체의 위험성과 공격 준비 정황에 대해서는 우선적으로 관찰·대응하되, 북한 조직의 개입 여부는 추가 검증이 필요한 사안으로 봐야 한다”고 말했다.
한편 PHP 개발팀은 지난 21일 해당 취약점을 수정한 보안 업데이트를 배포했다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 지난 22일 관련 취약점에 대한 '주의' 경보를 발령하고 기업들에 보안 조치와 대응 수칙을 안내했다.
박진형 기자 jin@etnews.com
