'치명적' 수준의 보안 위험도를 가진 것으로 밝혀진 PHP의 취약점을 악용한 사이버 공격으로 한국과 미국, 일본, 대만의 서버 25대가 관리자 권한을 탈취당한 것으로 나타났다. 공격자는 미국 정부 관련 기관의 내부망까지 침투했으며, 중국과 연계된 해킹 조직일 가능성이 제기됐다. 26일(현지시간) 이스라엘 사이버보안 기업 드림리서치 연구진은 PHP 취약점 'PHP2Shell'을 악용한 대규모 공격 흔적을 발견했다고 밝혔다.
공격자는 PHP 취약점 2건(CVE-2026-109618·CVE-2026-109619)과 리눅스 커널 권한 상승 취약점(CVE-2026-46300)을 연계해 방화벽 서버의 최고 관리자(root) 권한을 탈취했다. 연구진에 따르면 별도 인증 없이 공격을 시작해 15분 이내에 서버를 장악할 수 있었다.

공격자는 인터넷에 노출된 방화벽 약 1만 9000대를 탐색한 뒤 실제 응답한 약 5000대 가운데 한국·미국·일본·대만에 위치한 취약 서버 240대를 공격 대상으로 선정했다.

이후 자동화된 공격으로 외부 방화벽 24대를 장악했으며, 미국 정부 관련 기관 내부의 방화벽 관리 서버 1대에도 추가로 침투했다.

특히 미국 정부 관련 기관에서는 내부망에 지속적으로 접속할 수 있는 통로를 확보하고 액티브 디렉터리(AD) 계정 정보와 내부 네트워크 구성을 수집한 것으로 조사됐다. 다만 추가 계정 탈취와 백도어 설치 성공 여부는 확인되지 않았다.

공격 과정에서는 앤트로픽의 '클로드 코드'(Claude Code)와 중국 AI 모델 '딥시크'(DeepSeek)·'키미'(Kimi)가 설정된 공격 도구도 발견됐다. 연구진은 약 40개 공격 스크립트의 구조에서 AI 활용 정황을 확인했다.

드림리서치는 공격 대상과 중국어 명령어, 중국 표준시 사용 등을 근거로 중국 연계 세력의 소행 가능성을 제기했다. 다만 특정 해킹 조직이나 중국 정부의 개입 여부는 확인하지 못했다.

피해 방화벽의 제조사와 제품 버전은 보안상 공개하지 않았다.

Kris@news1.kr