이스라엘 사이버보안 기업 드림의 연구조직 드림 리서치는 한국·미국·일본·대만의 방화벽을 겨냥한 공격이 지난 23~24일 벌어졌고, 미국 정부 관련 기관의 내부 관리 서버까지 침해된 정황을 확인했다고 밝혔다. 공격자는 PHP 기능의 원격 코드 실행 취약점 ‘PHP2Shell’을 악용해 방화벽에 침투한 뒤 리눅스 운영체제의 권한 상승 취약점도 이용한 것으로 분석됐다. 방화벽 24대의 최고 관리자 권한이 탈취됐고, 미국 정부 관련 기관의 내부 관리 서버 1대가 추가 공격을 받아 전체 침해 규모는 25대로 파악됐다. 공격 기록에서 중국 연계 의심 단서와 인공지능(AI) 도구 활용 정황도 나왔지만, 한국 내 실제 피해 여부와 민감정보 유출 규모는 확인되지 않았다.
1만9000대 탐색 뒤 4개국 방화벽 240대 겨냥
29일 보안 업계에 따르면 드림 리서치가 확보한 공격 기록에는 공격자가 전 세계 방화벽 약 1만9000대를 탐색한 뒤 한국·미국·일본·대만에 있는 장비 240대를 최종 공격 대상으로 선정한 과정이 담겼다. 공격 대상은 방화벽 관리 서버에 탑재된 PHP 기능의 취약점에 노출된 장비였다. PHP2Shell은 원격에서 서버에 코드를 실행할 수 있는 취약점으로, 드림 리서치는 공격자가 이를 이용해 방화벽에 침투한 것으로 분석했다.
참고로 드림 리서치 연구진은 PHP 취약점 2건인 CVE-2026-109618과 CVE-2026-109619, 리눅스 커널 권한 상승 취약점 CVE-2026-46300이 연계됐다고 밝혔다. 공격자는 방화벽에 접근한 뒤 리눅스의 권한 상승 취약점까지 이용해 최고 관리자(root) 권한을 얻은 것으로 파악됐다. 연구진은 공격이 자동화된 방식으로 진행됐다고 설명했다. 피해 방화벽의 제조사와 제품 버전은 보안상 공개되지 않았다.
공격 결과 방화벽 24대의 최고 관리자 권한이 탈취된 것으로 분석됐다. 미국 정부 관련 기관에서는 방화벽 2대가 침해됐고, 이어 내부 관리 서버 1대가 추가로 공격을 받아 모두 3대가 관련된 것으로 파악됐다. 이에 따라 전체 침해 규모는 방화벽 24대와 내부 관리 서버 1대를 합친 25대로 집계됐다. 다만 장악된 시스템에서 실제로 어떤 민감정보가 유출됐는지, 추가 시스템까지 침해됐는지는 확인되지 않았다. 국내 방화벽이 장악된 24대에 포함됐는지도 아직 밝혀지지 않았다.
방화벽에서 내부 관리 서버로 이어진 침투
미국 정부 관련 기관의 경우 공격자는 외부에 놓인 방화벽을 거쳐 내부망으로 들어간 뒤 중앙 관리 서버까지 장악한 것으로 분석됐다. 중앙 관리 서버는 다른 방화벽을 관리하는 시스템이다. 드림 리서치는 공격자가 이 서버를 통해 관리 대상 장비의 설정과 인증정보 등에 접근할 수 있었던 것으로 파악했다. 따라서 이번 공격의 침해 범위에는 외부 방화벽뿐 아니라 내부 관리 인프라가 포함됐다.
드림 리서치는 “이번 공격은 외부에 노출된 관리 인터페이스가 조직의 계정·인증 관리 인프라로 침투하는 경로가 될 수 있음을 보여준다”고 밝혔다. 다만 해당 기관에서 내부 네트워크 구성이나 계정 정보가 어느 수준까지 수집됐는지, 추가 계정 탈취나 다른 내부 시스템 침해가 있었는지는 원문 자료에서 확인되지 않았다.
연구진은 최고 관리자 권한이 탈취된 방화벽 가운데 미국 정부 관련 기관의 방화벽 2대를 제외한 22대에 웹셸이 설치된 채 추가 공격 없이 남겨졌다고 밝혔다. 드림 리서치는 이들 웹셸이 계속 활성화돼 있을 가능성을 제기했다. 공격자가 이후 다시 접속해 내부망 침투 등 추가 공격을 시도할 수 있다는 설명이다. 그러나 실제로 재접속이나 후속 공격이 있었는지는 확인되지 않았다.
중국 연계 의심 단서와 AI 도구 흔적
드림 리서치는 공격 대상이 한국·미국·일본·대만에 집중된 점과 중국에서 사용되는 도구·설정 등을 중국 연계 가능성을 뒷받침하는 정황으로 제시했다. 공격 과정에서 중국의 인터넷 자산 검색 엔진 FOFA와 중국에서 개발된 네트워크 연결 도구가 사용된 흔적이 발견됐다. 공격 인프라의 시간대가 중국 표준시와 일치했고, AI 기반 보안 플랫폼 실행 기록에서는 중국어 프롬프트도 확인됐다.
공격 인프라에는 앤트로픽의 AI 코딩 도구 ‘클로드 코드’가 설치돼 있었다. AI 기반 공격 보안 플랫폼 ‘aiscan’에는 중국 AI 모델 딥시크와 키미를 사용하기 위한 설정이 포함됐다. 드림 리서치는 공격용 스크립트 약 40개를 분석해 코드 구조와 주석 작성 방식 등이 일관된 점을 들어 AI 활용 개발 가능성을 제기했다. 다만 AI가 실제 공격 코드를 직접 작성했다는 증거는 없으며, 공격 전 과정이 AI에 의해 자율적으로 수행된 것으로 보이지는 않는다고 설명했다.
연구진은 중국과 연계된 해킹 조직의 소행일 가능성을 제시했지만, 특정 조직이나 중국 정부의 개입을 확인했다고 밝히지는 않았다. 중국어 프롬프트와 중국 표준시, 중국 관련 도구의 흔적은 공격 기록에서 확인된 정황이다. 이 정황만으로 공격 주체를 확정할 수 있다는 설명은 자료에 포함되지 않았다. AI 도구 역시 공격 인프라에서 설치·설정 사실이 확인된 것으로, 실제 공격 과정에서 어떤 작업에 사용됐는지는 구체적으로 밝혀지지 않았다.
국내 패치율 집계와 보안 업데이트 권고
PHP 취약점에 대한 국내 대응 상황과 관련해 사이버보안 기업 센시스는 지난 27일 국가별 집계를 공개했다. 인터넷에서 취약한 PHP 버전 사용 이력이 확인된 국내 서비스 50만8709개 가운데 보안패치 적용이 확인된 서비스는 1만9737개로, 패치율은 3.9%였다. 집계 대상 233개 국가·지역 중 한국은 181위였다. 패치 대상 서비스가 10만개 이상인 36개 국가·지역 가운데서는 홍콩 다음으로 낮은 수치였다.
| 국가·지역 | 패치율 |
|---|---|
| 한국 | 3.9% |
| 미국 | 23.6% |
| 일본 | 22.1% |
| 독일 | 31.6% |
| 영국 | 30.2% |
센시스 수치는 국내 PHP 서비스를 전수 점검한 결과가 아니다. 인터넷에서 수집한 서비스의 PHP 버전 정보를 바탕으로 패치 여부를 분류한 통계로, 실제 패치 여부는 별도로 확인해야 한다. PHP 개발팀은 지난 21일 취약점 2건을 수정한 버전을 배포하고 업데이트를 권고했다. 과학기술정보통신부는 지난 22일 민간 분야 사이버 위기경보를 ‘관심’에서 ‘주의’로 높였고, 한국인터넷진흥원은 PHP 사용 여부 확인과 보안 업데이트, 이상 징후 점검을 안내했다.
“가장 먼저 어떤 서버에서 어떤 버전의 PHP를 사용하는지 파악해야 한다.” 그는 패치 적용 뒤 실행 중인 프로세스에도 수정 사항이 반영되도록 재시작이나 재배포가 필요하며, 패치와 이미 발생한 침해 여부 확인은 별개라고 설명했다. 드림 리서치는 한국 시스템의 실제 침해 여부를 아직 확인하지 못했다고 밝혔고, 국내 피해 규모와 정보 유출 여부도 공개되지 않았다.
· · · · · · · · · ·
관련기사
▶ OrcaRouter, PHP 취약점 2건 공격 증명 AI가 작성…7.x 업그레이드 권고
▶ 넥시얼, PHP 취약점 경보 속 웹사이트 무료 보안 점검 제공
▶ 오젤, MEDICA 2026서 인공지능 기반 혈액분석기 O-Cyte 1 공개
· · · · · · · · · ·
스페셜타임스는 AI 기술의 도움을 받아 더 빠르고 다양한 뉴스를 독자에게 전달하기 위해 노력하고 있습니다.
