싱가포르 보안기업 사이퍼마, 폐쇄형 네트워크서 공격 모의 정황 포착…과기정통부 22일 '주의' 경보
북한 해킹조직 라자루스 그룹과 연계된 것으로 의심되는 세력이 치명적 PHP 보안 취약점을 악용해 전 세계 정부기관과 금융기관을 표적으로 한 대규모 사이버 공격을 준비하는 정황이 포착됐다.
싱가포르 사이버보안 기업 사이퍼마(CYFIRMA)는 익명성이 보장되는 폐쇄형 네트워크 'I2P'에서 한국어를 사용하는 조직원들이 PHP 취약점을 활용한 사이버 공격을 계획하는 정황을 포착했다. 사이퍼마는 이번 공격 준비 활동을 'June 2026 Minjun' 캠페인으로 명명해 추적하고 있으며, 관련 조직이 북한 라자루스 그룹 생태계에 속하거나 연계됐을 가능성을 제기했다.
이들이 공격에 활용하려 한 취약점은 'PHP2Shell'(CVE-2026-109618, CVE-2026-109619)이다. 공격자가 별도의 로그인이나 인증 절차 없이 조작된 웹 요청만으로 서버에서 원격 명령을 실행할 수 있는 보안 결함으로, 공통취약점평가시스템(CVSS)에서 10점 만점에 9.2점을 받아 '치명적' 등급으로 분류됐다.
이번 취약점은 웹 애플리케이션이나 플러그인이 아닌 PHP 실행 엔진 자체에서 발생해 워드프레스 등 웹사이트 관리 프로그램만 업데이트해서는 해결되지 않는다. 공격에 성공하면 해커가 서버에 원격조종 파일을 몰래 설치하거나 고객 정보를 빼내고, 홈페이지를 변조·마비시키는 등 중대한 피해로 이어질 수 있다.
사이퍼마가 파악한 공격 계획에 따르면 이들은 정부기관과 금융기관을 최우선 표적으로 선정했다. 제조업, 물류·해운업, 공항·항공 분야, 온라인 거래 플랫폼, 건설사 등도 공격 대상에 포함됐다. 지역별로는 한국과 미국, 일본, 호주, 대만, 인도, 싱가포르, 아랍에미리트(UAE), 사우디아라비아, 유럽연합(EU) 등이 우선 공격 대상으로 거론됐다.
공격 준비 과정에서 인공지능(AI)을 활용한 정황도 확인됐다. 사이퍼마는 이들이 공개된 취약점 공략 코드를 수집해 자체 AI 모델로 우선순위를 매기고, 통제된 환경에서 검증하는 방식으로 공격을 준비하고 있다고 설명했다.
다만 사이퍼마는 공격 계획과 준비 활동의 존재에 대해서는 높은 신뢰도를 부여했지만, 북한 라자루스와의 관련성에 대해서는 분석 신뢰도를 '중간'(moderate) 수준으로 평가했다.
보안 전문가들 사이에서는 신중론도 나온다. 한 보안 전문가는 "사이퍼마가 제시한 북한 연계 근거는 한국어로 이뤄진 공격 지시와 정부·금융기관 위주의 표적 선정, 과거 라자루스가 써온 웹셸 방식과 비슷한 공격 전술 정도"라며 "라자루스 그룹과 직접 연결되는 악성코드나 공격 인프라의 중복 증거는 확인되지 않았다"고 말했다. 이 전문가는 "취약점 자체의 위험성과 공격 시도 정황은 우선순위를 두고 대응하되, 북한 조직의 개입 여부는 추가 검증이 필요한 정보로 분류하는 게 적절하다"고 덧붙였다.
과학기술정보통신부와 한국인터넷진흥원(KISA)은 "PHP에서 심각한 보안 취약점 2건이 공개됐다"며 PHP를 이용한 홈페이지를 운영하는 국내 기업·기관에 보안 업데이트를 즉시 적용할 것을 당부했다. 과기정통부는 KISA와 위기평가 회의를 거쳐 22일 정오를 기점으로 민간 분야 사이버위기 '주의' 경보를 발령했다. 호스팅사, 인터넷 데이터센터 등 주요 기업 688곳을 대상으로 PHP 위험에 대한 내용을 긴급 전파했다.
PHP 개발팀은 21일 PHP2Shell 취약점 2건에 대한 수정 패치를 배포했다. PHP를 사용하는 기업과 기관은 운영 중인 모든 홈페이지와 시스템의 버전을 확인하고 최신 버전인 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35로 즉시 업데이트해야 한다. 업데이트 후에는 반드시 웹 서비스를 재시작해야 조치가 적용된다. PHP 8.1 이하 버전은 이미 공식 보안 지원이 종료된 만큼 지원 중인 버전으로 업그레이드해야 한다. 침해 피해가 의심되면 KISA 인터넷침해대응센터(118)에 신고할 수 있다.
