북한 해킹조직 라자루스, PHP 취약점 악용 공격 준비 정황 보도…사이퍼마 '한국어 쓰는 공격자' 포착
글로벌 사이버 보안업체 사이퍼마는 22일(현지시간) 한국어를 쓰는 공격자가 비공개 익명 네트워크(I2P) 채널에서 PHP투셸 취약점이 있는 웹 접근 가능 자산을 정찰하고 공개된 공격 코드를 검증하는 활동이 목격됐다고 밝혔다고 동아일보가 보도했다. 연합뉴스와 SBS는 이를 북한 해킹조직 라자루스가 PHP 취약점을 악용해 공격을 준비하는 정황이라고 전했다. 한국경제는 북한 연계 의심 조직이라고 표현했다. 동아일보는 한국을 포함한 전 세계 정부기관과 금융기관을 정찰하는 정황이라는 주장이 제기됐다고 전했다. 동아일보는 실제 침해 사례가 확인된 것은 아니라고 덧붙였다. 한국인터넷진흥원(KISA)은 24일 새벽 PHP 신규 취약점에 대한 추가 보안 공지를 냈고 정식 패치가 나오지 않아 긴급 임시 조치가 권고된다고 동아일보는 전했다.
정식 패치가 나오지 않은 취약점은 임시 조치로 먼저 막아야 하고, 그 사이 정찰·공격 코드 검증 활동이 포착됐다는 점이 보도의 핵심이다. 동아일보는 이번 결함이 세션 처리와 파일 업로드 진행 기록 과정에서 생기는 원격 코드 실행 취약점이라고 설명했다. 아침 판의 경보 상향 이후 공격 주체에 대한 정황이 처음 제기됐다.
웹사이트나 서버에서 PHP를 쓰는 개인·기업은 KISA 공지에 따른 임시 조치 적용 여부를 확인해야 한다. 공공기관·금융기관 이용자는 서비스 공지에 변동이 있는지 살펴볼 수 있다.
연합뉴스와 SBS는 제목에서 라자루스가 PHP 취약점을 악용해 공격을 준비하는 정황이라고 전했다. 이 시각은 보안업체가 포착한 활동을 북한 조직의 준비 행위로 읽는다. 한국경제도 북한 연계 의심 조직이 정부·금융을 겨냥했다고 보도했다.
동아일보는 같은 사안을 전하면서 사이퍼마가 한국어를 쓰는 공격자라고 설명했을 뿐이고 실제 침해 사례가 확인된 것은 아니라고 선을 그었다. 또한 정부·금융 정찰이라는 내용을 '주장이 제기됐다'고 표현해 확정된 사실로 다루지 않았다.
확인된 것은 사이퍼마가 포착한 정찰·공격 코드 검증 활동과 KISA의 추가 공지다. 확인되지 않은 것은 공격 주체가 라자루스인지, 실제 침해가 있었는지다. 오늘은 임시 조치 권고와 정식 패치 공개 여부를 보면 된다.
데일리드롭 제20호 · 2026년 10월 24일 토요일 석간