[국내보안뉴스] 북한 연계 추정 해커그룹, 'PHP2Shell' 취약점 활용 국내 정부·금융권 공격 징후 포착
· 2026-10-24 00:00
· 조회 12
· 원문 ↗
최근 글로벌 보안 기업 사이퍼마(CYFIRMA)의 보고서에 따르면, 한국어를 사용하는 사이버 위협 주체가 PHP의 최신 고위험 취약점인 'PHP2Shell'을 악용한 사이버 공격을 준비 중인 정황이 포착되었습니다. 배후로 북한 연계 해킹 조직이 의심되는 가운데, 이들은 비공개 통신 채널을 통해 공격 대상을 물색하고 공개된 익스플로잇 코드를 수집하는 등 공격 실행을 위한 사전 정찰 활동을 펼치고 있는 것으로 분석되었습니다.
이번 공격의 주요 표적 후보에는 한국을 포함한 세계 주요 국가의 정부 기관과 금융회사 등이 포함되어 있습니다. 비록 아직 직접적인 공격 성공 여부나 명확한 배후 입증 데이터는 확보되지 않았으나, 공격 주체가 국내 주요 기반 시설과 금융권을 타깃으로 삼고 있다는 점에서 잠재적인 위협 수위가 매우 높은 상태입니다.
'PHP2Shell' 취약점은 공격자가 원격에서 서버의 제어권을 획득할 수 있는 치명적인 위협을 내포하고 있습니다. 공격이 성공할 경우 시스템 마비나 민감 정보 유출 등 심각한 2차 피해로 이어질 수 있으므로, PHP 기반 웹 시스템을 운용하는 정부 기관 및 기업들은 자사 시스템의 취약점 여부를 조속히 점검해야 합니다.
이를 예방하기 위해서 보안 담당자는 관련 PHP 버전을 즉시 최신 상태로 패치하고, 비정상적인 서버 접근 시도나 인바운드 트래픽에 대한 실시간 모니터링을 강화해야 합니다. 아울러 위협 인텔리전스(TI) 정보를 적극 활용하여 연계된 공격 징후를 사전에 차단하는 선제적인 대응 체계 구축이 시급합니다.
공개 PoC가 유출된 RCE 취약점인 만큼, PHP 환경을 운용 중이라면 즉시 최신 버전을 패치하고
php.ini내disable_functions설정을 통해 위험한 시스템 명령 실행을 차단해야 합니다.코드 단의 입력값 검증과 더불어 웹 서버 프로세스 권한을 최소화(Least Privilege)하여, 쉘이 탈취되더라도 내부망 승격이나 2차 피해로 이어지지 않도록 아키텍처적 방어선을 재점검해야 합니다.
공격 준비 정황이 포착된 지금이 공격 표면(Attack Surface)을 줄이고 WAF 시그니처와 모니터링 로그를 신속히 업데이트할 타이밍입니다.
PHP2Shell 취약점은 공격자가 단시간 내에 RCE(원격 코드 실행)를 달성하고 웹셸을 통해 초기 침투(Initial Access)를 성공시킬 수 있는 매우 치명적인 공격 벡터입니다. 공개된 PoC 코드가 존재하는 만큼, 외부망에 노출된 웹서버를 타깃으로 한 자동화 스캐닝과 무기화된 공격 시도가 거세질 것으로 보입니다. 특히 웹 서비스 접점이 많은 정부 및 금융 기관은 패치 적용이 완료될 때까지 WAF 규칙 업데이트와 PHP 실행 환경에 대한 상시 모니터링을 강화해야 합니다.
최신 PHP 취약점(PHP2Shell)을 악용한 국가지원형 공격 정황이 포착된 만큼, 사내 인프라 내 PHP 사용 현황을 긴급 점검하고 관련 보안 패치를 최우선으로 완료해야 합니다.
단순한 기술적 조치를 넘어 위협 인텔리전스(CTI) 기반으로 침입 탐지 정책을 즉시 업데이트하고, 외부 노출 자산에 대한 접근 제어 강도를 높이는 등 보안 거버넌스를 재정비할 시점입니다.
지속적인 타깃형 위협에 선제적으로 대응할 수 있도록 비상 모니터링 체계를 가동하고, 관련 리스크를 경영진에 신속히 공유하여 종합적인 대비책을 강구하겠습니다.