웹사이트 개발에 널리 쓰이는 프로그래밍 언어 PHP의 보안 결함을 노린 대규모 사이버 공격 준비 정황이 확인됐다. 한국을 포함한 여러 나라의 정부·금융기관이 주요 표적으로 거론됐다. 북한 해킹조직 라자루스와의 연계 가능성도 제기됐지만 직접적인 연결고리나 실제 침해 사례는 확인되지 않았다.
24일 사이버보안 기업 사이퍼마(CYFIRMA)의 위협 경고에 따르면 한국어를 사용하는 공격자들이 비공개 익명 네트워크인 ‘I2P’에서 ‘PHP유셸(PHP2Shell)’ 취약점을 악용할 계획을 논의한 것으로 파악됐다.
사이퍼마는 이들이 인터넷에 노출된 서버를 정찰하고 공개된 취약점 공격 코드를 수집·검증하는 활동을 관찰했다. 자체 AI 모델로 공격 코드의 우선순위를 정하고 실제 사용에 앞서 통제된 환경에서 시험한 정황도 포착했다. 해당 활동은 채널 이름을 따 ‘2026년 6월 민준 캠페인’으로 명명했다.
PHP투셸은 조작된 웹 요청을 통해 인증 없이도 서버에서 원격 명령을 실행할 수 있는 보안 결함이다. 공통취약점평가시스템(CVSS) 점수는 10점 만점에 9.2점으로 ‘치명적’ 등급에 해당한다.
공격자들이 우선 겨냥한 분야는 정부기관과 은행 등 금융권이다. 제조업과 물류·해운, 공항·항공, 온라인 거래 플랫폼, 무역·건설업체도 대상에 포함됐다. 지역적으로는 한국과 미국, 일본을 비롯해 아시아·중동·유럽 등 광범위한 국가와 지역이 거론됐다. 구체적인 공격 개시 시점이나 개별 표적 명단은 확인되지 않았다.
사이퍼마는 공격자들이 라자루스와 관련됐을 가능성을 제시하면서도 분석 신뢰도를 ‘중간’으로 평가했다. 한국어 사용과 표적 선정, 공격 방식의 유사성만으로 북한 조직의 개입을 단정하기는 어렵다는 의미다.
23일에는 서버 원격제어 도구 사용이나 파일 업로드 정보 악용이 의심되는 활동에서 공격 출발지 IP 주소 17개를 추가로 확인했다. 다만 이 주소들 역시 북한 연계가 의심되는 채널과 직접 연결된 것으로 입증되지는 않았다.
사이퍼마는 서버 침입이 이뤄질 경우 접근 권한 판매나 계정정보 탈취, 랜섬웨어 공격 등으로 이어질 수 있다고 경고했다. 이에 보안 패치 적용과 재시작, 지난 17일 이후의 침해 흔적 점검을 권고했다. 특히 아파치 웹 서버에서 PHP를 직접 실행하는 환경에 주의를 당부했다.
PHP 개발팀은 지난 21일 취약점을 수정한 긴급 업데이트를 배포했다. 과학기술정보통신부와 한국인터넷진흥원(KISA)도 22일 ‘주의’ 경보를 발령하고 기업에 보안 대응 수칙을 안내했다.
이주희 기자 jh224@segye.com
