사이퍼마 보고서와 포착 정황
싱가포르 사이버보안 기업 사이퍼마(CYFIRMA)는 2026년 6월 활동으로 명명한 'June 2026 Minjun' 캠페인에서 익명 네트워크 I2P 안팎에서 한국어를 사용하는 조직원이 PHP 보안 취약점 활용을 논의한 정황을 확인했다고 보고했다. 이들은 최근 공개된 PHP 취약점 'PHP2Shell'을 이용해 전 세계 웹 서버를 공격하기 위한 사전 정찰과 구체적 공격 계획을 모의한 것으로 파악됐다.
표적과 공격 방식 개요
사이퍼마가 파악한 표적 우선순위에는 한국과 미국, 일본을 포함한 다수 국가의 정부기관과 은행·금융기관이 포함됐다. 이 밖에 제조업, 물류·해운업, 항공 분야, 온라인 거래 플랫폼, 무역회사, 건설사 등도 공격 대상에 오른 것으로 전해졌다. 보고서는 공격 준비 과정에서 공개된 취약점 공격 코드를 수집한 뒤 자체 인공지능(AI) 모델로 우선순위를 정하고, 통제된 환경에서 검증하는 방식이 사용된 정황도 확인했다고 밝혔다.
취약점 세부 내용과 대응 현황
문제의 취약점 'PHP2Shell'은 별도의 로그인이나 인증 없이 조작된 웹 요청만으로 서버에서 원격 명령을 실행할 수 있는 결함이다. 공통취약점평가시스템(CVSS)에서는 10점 만점에 9.2로 집계돼 치명적 등급으로 분류됐다. 사이퍼마 보고서에 제시된 취약점 식별자는 CVE-2026-109618과 CVE-2026-109619이다.
| 항목 | 내용 |
|---|---|
| 취약점 명 | PHP2Shell |
| CVE | CVE-2026-109618, CVE-2026-109619 |
| CVSS 점수 | 9.2 |
라자루스 연계 가능성 평가와 한계
사이퍼마는 이번 활동을 북한의 라자루스 그룹 생태계와 연계됐을 가능성이 있다고 지적하면서도 연계 신뢰도는 ‘중간’(moderate) 수준으로 평가했다. 보고서는 한국어 사용과 정부·금융기관을 표적으로 삼은 점, 과거 라자루스가 사용한 웹셸 방식과 유사한 전술이 관찰된다는 점을 근거로 제시했다. 그러나 라자루스와 직접 연결되는 악성코드나 공격 인프라의 중복 증거는 확인되지 않았다고 밝혔다.
“사이퍼마가 제시한 북한 연계 근거는 한국어로 이뤄진 공격 지시와 정부·금융기관 위주의 표적 선정, 과거 라자루스가 써온 웹셸 방식과 비슷한 공격 전술 정도”라고 한 보안 전문가는 연합뉴스에 말했다
국내 대응과 시점
PHP 개발팀은 2026년 10월 21일 해당 취약점에 대한 긴급 보안 업데이트를 배포했다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 2026년 10월 22일 사이버위기 경보를 ‘주의’ 단계로 발령하고 관련 기업과 기관에 보안 조치를 안내했다. 사이퍼마 보고서와 현 시점에서는 해당 공격자에 의한 실제 침해 사례는 확인되지 않았다.
- 사이퍼마 보고서는 공격 준비 활동을 'June 2026 Minjun' 캠페인으로 명명했다
- 공격 준비 정황에는 AI를 활용해 취약점 공격 우선순위를 정하는 방식이 포함됐다
- 라자루스와의 직접적 연결 증거는 보고서에서 중복 확인되지 않았다
이번 보고서는 PHP처럼 광범위하게 쓰이는 서버용 소프트웨어의 치명적 취약점이 공개될 경우 국가·금융 부문을 포함한 다수 산업에 신속한 보안 패치와 점검이 요구된다는 점을 확인시켰다. 관련 기관의 경보 발령과 PHP 개발팀의 긴급 업데이트 배포가 이루어진 시점은 보고서와 보안 업계의 관찰 결과와 일치한다.
