'PHP 결함' 연쇄 공격에 전세계 서버 25대 장악…韓도 겨냥했다

PHP 보안 결함 악용한 연쇄 공격 포착…美·日·대만·韓 방화벽 최고 권한 탈취

클로드·딥시크·키미 등 AI도구 총동원…특정 국가 공격 특정은 안 돼

"공격 시도 성공 여부는 미확인…"외부 노출 방화벽 전수 조사 시급"

[서울=뉴시스] 인터넷 보안 시스템. 기사의 이해를 돕기 위한 이미지. (사진=유토이미지) 2026.08.07. [email protected] *재판매 및 DB 금지

[서울=뉴시스]박은비 기자 = 전세계에서 웹서버 개발에 널리 활용되는 프로그래밍 언어 'PHP' 취약점을 악용한 연쇄 공격 정황이 포착됐다. 특정 방화벽 장비를 공략했는데, 미국과 일본, 대만은 물론 우리나라의 서버까지 침투 표적이 된 것으로 확인됐다.

29일 이스라엘 사이버보안 기업 드림(Dream) 분석 보고서에 따르면, 이 회사 연구진은 지난 25일 PHP 결함을 이용한 해커의 사이버 공격 작전 수행 정황을 발견했다.

해커는 최신 보안 결함인 'PHP2쉘(PHP에서 발견된 치명적 결함)'과 리눅스 운영체제 취약점을 섞은 맞춤형 해킹 도구로 전 세계 방화벽 서버 25대의 최고 권한(루트)을 빼앗았다.

피해를 본 장비에는 미국 정부 기관의 내부 시스템 3대와 함께 한국, 미국, 일본, 대만 등지에 소재한 방화벽도 대거 포함됐다는 게 드림 측 설명이다.

해커는 사이버 공격 과정에서 특정 브랜드의 방화벽에 존재하는 보안 결함 2가지도 악용했다. 방화벽은 외부 인터넷과 조직 내부 네트워크 사이에서 통신을 걸려주는 보안 장비다. 방화벽 자체가 해킹되면 공격자는 이를 내부 네트워크로 들어가는 출입구처럼 이용할 수 있다.

클로드·딥시크 등 AI 모델 동원… AI가 해킹 코드 짜고 자동 침투

이번 공격이 기존 해킹과 크게 다른 점은 AI 기술이 해킹 도구 개발과 침투 전 과정에 깊숙이 활용됐다는 사실이다. 해커들의 침투 경로에서 앤트로픽의 '클로드 코드' 설치 흔적이 발견됐다. 중국 '딥시크'와 '키미'를 기반으로 작동하는 AI 해킹 플랫폼도 함께 포착됐다.

해커들이 사용한 40여개의 해킹 프로그램이 코드 구조와 주석 스타일이 일정한 점을 감안하면, AI가 작성을 도운 것으로 분석됐다.

해커들은 검색엔진을 통해 전 세계에 노출된 방화벽 장비 1만9000대를 먼저 찾아냈다. 이후 자동화 스캐너로 특정 최신 버전을 쓰는 목표물 240대를 좁혀냈다.

이어 AI가 도운 자동 해킹 프로그램을 돌려 한꺼번에 24대의 방화벽을 뚫고 해커 전용 통로(웹셸)를 설치했다.

다만 연구진은 특정 국가나 해커 집단이 공격했다고 확정하지는 않았다.

최고 관리자 권한까지 획득…"공격자 남겨둔 흔적 있는지 조사해야"

공격방식을 살펴보면 공격자는 먼저 방화벽에서 명령을 실행할 발판을 만들고, 컴퓨터의 거의 모든 것을 통제할 수 있는 최고 관리자 권한(루트 권한)도 획득한 것으로 파악됐다.

연구진은 공격자가 장악한 방화벽에서 사용자 이름과 그룹 정보를 모으고, 로그인 비밀번호를 알아내거나 계정을 새로 만들려는 시도가 있었다고 봤다. 다만 그 시도들이 전부 성공했는지는 확인되지 못했다.

아울러 이번 공격에 따른 피해 장비 업체명과 영향 받은 소프트웨어 버전 역시 공개되지 않았다. 보안상 이유고 해당 업체에는 문제를 알렸다는 게 이 회사 설명이다.

드림 연구진은 "이번 공격이 우연히 취약한 장비를 찾아 공격한 수준을 넘어 상당한 사전 준비가 이뤄진 작전"이라며 "방화벽의 관리 화면이 인터넷에 불필요하게 노출돼 있지 않은지 확인하고, 웹셸이나 원격 연결 통로처럼 공격자가 남겨둔 흔적이 있는지 조사할 필요가 있다"고 말했다.


◎공감언론 뉴시스 [email protected]