북한 해킹 조직 연계 의혹, PHP 치명적 취약점 발견…정부·은행 노리는 사이버 공격 비상

 

인터넷을 이용하다 보면 개인정보 유출이나 금융회사 해킹 소식을 종종 접하게 됩니다. 하지만 이번에는 조금 다른 점이 있습니다.

 

전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견됐고, 이를 악용해 대규모 사이버 공격을 준비하는 정황까지 포착됐기 때문입니다.

 

특히 공격 대상에 정부기관과 은행, 금융회사뿐 아니라 제조업과 물류·해운업, 온라인 거래 플랫폼 등이 포함된 것으로 알려졌습니다.

 

북한 해킹 조직 라자루스와의 연계 가능성도 제기됐지만, 아직 직접적인 증거가 충분하지 않다는 점은 구분해서 살펴볼 필요가 있습니다.

 

로그인하지 않아도 서버를 공격할 수 있다?

 

이번에 알려진 취약점은 ‘PHP2 Shell’로 불리는 보안 결함 두 건입니다. 취약점 번호는 CVE-2026-109618과 CVE-2026-109619이며, 각각 CVSS 4.0 기준 9.2점을 받아 치명적 등급으로 평가됐습니다.

 

문제는 공격자가 정상적인 로그인이나 인증 절차를 거치지 않고도 조작된 웹 요청을 통해 서버에서 악성 명령을 실행할 가능성이 있다는 것입니다.

 

쉽게 말해 웹사이트의 문을 열고 들어오는 것이 아니라, 서버 프로그램 자체의 결함을 이용해 내부 시스템을 장악할 수 있다는 의미입니다. 공격에 성공하면 웹사이트 변조는 물론 고객정보 탈취, 악성 프로그램 설치, 내부 네트워크 침투 등으로 피해가 확대될 수 있습니다.

 

이번 사안이 중요한 이유는 PHP가 다양한 웹사이트와 서비스 운영에 활용된다는 점입니다. 따라서 특정 기업만의 문제가 아니라 취약한 버전을 사용하는 여러 조직이 영향을 받을 수 있습니다.

 

정부와 은행이 주요 표적으로 거론된 이유

 

싱가포르 사이버보안 기업 사이퍼마는 폐쇄형 익명 네트워크 I2P에서 한국어를 사용하는 세력이 PHP 취약점을 활용한 공격을 준비하는 정황을 포착했다고 밝혔습니다.

 

사이퍼마는 해당 활동을 ‘June 2026 Minjun’ 캠페인으로 명명했습니다. 공개된 분석에 따르면 공격 계획에는 정부기관과 은행·금융회사뿐 아니라 제조업, 물류·해운, 공항·항공, 무역회사, 건설사, 온라인 거래 플랫폼 등이 포함됐습니다.

 

공격 대상 지역으로는 한국과 미국, 일본, 호주, 대만, 인도, 싱가포르, 중동 및 유럽 지역 등이 거론됐습니다.

 

여기서 눈여겨볼 대목은 인공지능(AI)을 활용한 공격 준비 정황입니다. 사이퍼마는 해당 세력이 공개된 취약점 공격 코드를 수집하고 AI를 이용해 우선순위를 정한 뒤, 통제된 환경에서 검증하는 방식으로 공격을 준비했다고 설명했습니다.

 

AI가 반드시 새로운 해킹 기술을 만들어 내야만 위험한 것은 아닙니다. 이미 공개된 공격 도구를 빠르게 분석하고, 공격할 시스템을 선별하고, 준비 시간을 줄이는 데 활용되더라도 방어하는 기업에는 부담이 커질 수 있습니다.

 

북한 라자루스 해킹 조직이 배후일까?

 

이번 사건에서 신중하게 살펴봐야 할 부분은 공격 주체입니다.

 

사이퍼마는 이번 활동이 북한의 라자루스 그룹 생태계와 연관됐을 가능성을 제기했지만, 그 신뢰도를 ‘중간’ 수준으로 평가했습니다. 한국어로 작성된 공격 지시, 정부와 금융기관을 우선 표적으로 삼은 점, 과거 공격 전술과의 유사성 등이 근거로 제시됐습니다.

 

그러나 한국어 사용이나 공격 방식의 유사성만으로 특정 국가의 해킹 조직이 직접 개입했다고 단정하기는 어렵습니다. 해당 조직과 직접 연결되는 악성코드나 공격 인프라의 중복 증거가 충분히 확인되지 않았다는 보안 전문가의 지적도 나왔습니다.

 

따라서 현재로서는 취약점의 심각성과 공격 준비 정황에 우선적으로 대응하되, 북한 조직의 개입 여부는 추가 증거를 통해 검증해야 한다고 보는 것이 합리적입니다.

 

지금 기업과 웹사이트 운영자가 확인해야 할 사항

 

PHP 개발팀은 2026년 10월 21일 관련 취약점을 해결하기 위한 보안 업데이트를 배포했습니다. 한국인터넷진흥원(KISA)도 10월 22일 기업을 대상으로 보안 대응 수칙을 안내했습니다.

 

주요 수정 버전은 다음과 같습니다.

 

PHP 8.5 사용자는 8.5.12 이상

PHP 8.4 사용자는 8.4.27 이상

PHP 8.3 사용자는 8.3.36 이상

PHP 8.2 사용자는 8.2.35 이상

 

다만 운영체제나 호스팅 업체가 별도로 제공하는 패키지를 사용한다면 해당 업체의 보안 공지를 함께 확인해야 합니다. 지원이 종료된 구버전은 일반적인 업데이트만으로 해결되지 않을 수 있으므로 별도의 보안 조치나 버전 업그레이드가 필요합니다.

 

기업은 웹사이트에 실제 적용된 PHP 버전을 확인하고, 보안 패치를 적용한 뒤 관련 프로세스가 정상적으로 재시작됐는지도 점검해야 합니다. 웹 방화벽과 로그 모니터링은 보조 방어 수단으로 활용할 수 있지만, 보안 업데이트를 대신할 수는 없습니다.

 

일반 이용자라면 이용하는 모든 웹사이트를 직접 점검하기보다는 운영체제와 브라우저를 최신 상태로 유지하고, 금융회사나 쇼핑몰에서 개인정보 유출 안내를 받았을 때 공식 홈페이지를 통해 사실 여부를 확인하는 것이 중요합니다.

 

마무리｜해킹은 취약점을 발견한 순간부터 시작된다

 

이번 PHP 보안 취약점 사태는 사이버 공격이 더 이상 특정 기업이나 전문가만의 문제가 아니라는 사실을 보여줍니다. 서버 프로그램의 작은 결함 하나가 고객정보와 금융 시스템, 기업 운영 전반에 영향을 줄 수 있기 때문입니다.

 

특히 AI가 공격 준비 과정에 활용되면서 취약점을 발견한 뒤 실제 공격으로 이어지는 시간이 짧아질 가능성에도 주목해야 합니다. 기업은 보안 공지를 확인하는 데서 그치지 않고 패치 적용과 침해 흔적 점검까지 신속하게 진행해야 합니다.

 

북한 라자루스 그룹과의 직접적인 연계 여부는 아직 확정되지 않았습니다. 하지만 배후가 누구인지 밝혀지는 것과 별개로, 이미 공개된 취약점을 방치하지 않는 것이 가장 현실적인 대응입니다.

 

참고 출처

 

사이퍼마(CYFIRMA) 보안 분석 보고서

한국인터넷진흥원(KISA) PHP2Shell 보안 대응 수칙

PHP2 Shell 취약점 관련 보안 권고