CYFIRMA, PHP2Shell 취약점 노린 공격 정황 포착…Lazarus 연계 가능성
CYFIRMA는 한국어 사용 조직이 정부기관과 금융사 등을 겨냥한 공격을 준비 중이며 Lazarus Group 연계 신뢰도는 '중간'이라고 밝혔다.
싱가포르 보안기업 CYFIRMA가 폐쇄형 익명 네트워크 I2P에서 한국어를 사용하는 조직원들이 PHP 취약점 PHP2Shell(CVE-2026-109618, CVE-2026-109619)을 악용한 사이버 공격을 논의하는 정황을 포착했다고 24일 밝혔다. 이 사실은 etnews.com이 보도했다.
논의된 공격 대상에는 정부기관, 은행과 기타 금융기관, 제조업, 물류·해운, 공항과 항공, 온라인 거래 플랫폼, 무역회사, 건설사가 포함됐다. 대상 지역으로는 한국, 미국, 일본, 오스트레일리아, 대만, 인도, 싱가포르, 아랍에미리트, 사우디아라비아, 유럽연합(EU)이 거론됐다.
CYFIRMA에 따르면 이들은 수집한 개념증명(PoC) 익스플로잇 코드의 우선순위를 정하는 데 AI 모델을 활용했고, 실제 사용 전에 통제된 환경에서 이를 검증한 것으로 전해졌다.
Lazarus 연계 가능성 '중간' 수준
CYFIRMA는 이번 활동을 '2026년 6월 Minjun' 캠페인으로 명명하고, 북한 배후 해킹 조직 Lazarus Group과의 연계 가능성에 대해 '중간' 수준의 신뢰도를 부여했다.
앞서 10월 21일 PHP 개발팀은 해당 취약점을 수정하는 보안 업데이트를 배포했고, 10월 22일에는 과학기술정보통신부와 한국인터넷진흥원(KISA)이 취약점 관련 '주의' 경보를 발령하고 기업 대응 방안을 안내했다.
한눈에 보기
PHP2Shell 취약점이 무엇인가요?
PHP에서 발견된 취약점으로, CVE-2026-109618과 CVE-2026-109619 두 개의 식별번호가 부여됐다. 10월 21일 PHP 개발팀이 보안 업데이트를 배포했고, 10월 22일 과학기술정보통신부와 KISA가 '주의' 경보를 발령했다.
Lazarus Group과의 연계가 확인됐나요?
확인되지 않았다. CYFIRMA는 연계 가능성의 신뢰도를 '중간'으로 평가했다.