북한 해킹조직 라자루스 그룹과 연계된 것으로 추정되는 세력이 전 세계 웹사이트에서 사용하는 프로그래밍 언어 'PHP'의 보안 취약점을 악용해 대규모 사이버 공격을 준비하는 정황이 포착됐다.
 
24일 보안업계에 따르면 싱가포르 사이버보안 기업 사이퍼마(CYFIRMA)는 익명 네트워크 'I2P'에서 한국어 사용자들이 PHP 취약점을 활용한 공격 계획을 논의한 정황을 확인했다.
 
이들은 최근 발견된 'PHP2Shell' 취약점을 이용해 전 세계 웹 서버를 공격하기 위한 사전 정찰과 공격 방식을 논의한 것으로 파악됐다.
 
PHP2Shell은 별도의 로그인이나 인증 없이 조작된 웹 요청만으로 서버에서 원격 명령을 실행할 수 있는 보안 결함이다. 공통취약점평가시스템(CVSS)에서 10점 만점에 9.2점을 받아 치명적 등급으로 분류됐다.
 
공격 대상에는 정부기관과 은행 등 금융기관이 최우선으로 포함됐다. 제조업과 물류·해운업, 항공 분야, 온라인 거래 플랫폼, 건설사 등도 표적으로 거론됐다.
 
지역별로는 한국과 미국, 일본, 호주, 대만, 인도, 싱가포르, 아랍에미리트(UAE), 사우디아라비아, 유럽연합(EU) 등이 공격 우선순위에 올랐다.
 
공격 준비 과정에서 인공지능(AI)을 활용한 정황도 포착됐다. 사이퍼마는 공격자들이 공개된 취약점 공략 코드(PoC)를 수집한 뒤 자체 AI 모델로 우선순위를 정하고, 실제 공격에 앞서 통제된 환경에서 검증하는 방식을 사용하고 있다고 설명했다.
 
사이퍼마는 이번 활동을 'June 2026 Minjun' 캠페인으로 명명하고 북한 라자루스 그룹과 연계됐을 가능성을 제기했다. 다만 북한과의 연관성에 대한 분석 신뢰도는 '중간' 수준으로 평가했다.
 
보안업계에서는 공격 주체를 북한 조직으로 단정하기 어렵다는 신중론도 나온다. 한국어로 작성된 공격 지시와 정부·금융기관 중심의 표적 선정, 기존 라자루스의 공격 전술과 유사한 점 외에 직접적인 연결 증거가 부족하다는 이유에서다.
 
한편 PHP 개발팀은 지난 21일 해당 취약점을 수정한 긴급 보안 업데이트를 배포했다.