中 배후 해커, PHP 취약점 악용…美 기관 방화벽 뚫었다 작성일 10-29 47 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">PHP·리눅스 취약점 연계…한·미·일·대만 서버 25대 장악<br>15분 만에 최고 관리자 권한 탈취…AI 활용 정황도 발견</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="Krp2NGLxlc"> <figure class="figure_frm origin_fig" contents-hash="db6be679b392ab13ae34af9a3e71313eefdbc20fa5bc9f0e6b7a77c06e87b539" dmcf-pid="9mUVjHoMSA" dmcf-ptype="figure"> <p class="link_figure"><img alt="챗GPT로 생성한 이미지." class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/29/dt/20261029104243114yboy.png" data-org-width="640" dmcf-mid="bqamFMZvyk" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/29/dt/20261029104243114yboy.png" width="658"></p> <figcaption class="txt_caption default_figure"> 챗GPT로 생성한 이미지. </figcaption> </figure> <p contents-hash="897fd698c0fdaa52a768594943b1675a322fdcd6348a620f0fc2ceff8ae173f9" dmcf-pid="2sufAXgRSj" dmcf-ptype="general"><br> 중국과 연계된 것으로 추정되는 해커들이 PHP 취약점을 악용해 한국과 미국 등 4개국의 서버 25대를 장악했다는 사실이 드러났다. 외부 공격으로부터 내부 시스템을 보호해야 할 방화벽이 오히려 해커들의 침투 경로로 사용됐다. 특히 미국 정부 관련 기관의 내부 인증 시스템까지 접근한 정황이 확인되면서 보안 업계에 경각심이 커지고 있다.</p> <p contents-hash="c052f2159a1316d83619c50afd14743d7d5562c1dff8151886901c209e8a99ae" dmcf-pid="VtRNW2SrSN" dmcf-ptype="general">이스라엘의 드림 리서치는 보고서를 통해 해커들이 지난 23~24일 미국·한국·일본·대만을 겨냥한 대규모 공격을 벌였다고 밝혔다.</p> <p contents-hash="8afe6d52732ce5632994747663e4a767d8b560656fd84e7b7f088b2e3c1978b2" dmcf-pid="fFejYVvmya" dmcf-ptype="general">이 보고서에 따르면 해커들은 중국의 인터넷 자산 검색 서비스 ‘포파’(FOFA)를 활용해 외부 인터넷에 노출된 방화벽 약 1만9000대를 탐색했다. 이 중 응답한 5000대 가운데 특정 소프트웨어 버전을 사용 중인 방화벽 240대를 공격 대상으로 선정했다. 이후 자동화된 공격을 통해 외부 방화벽 24대를 장악했고, 미국 정부 관련 기관의 내부 관리 서버 1대를 추가로 침해했다.</p> <p contents-hash="0926b3eb2b2e03d0e25f19286e4631911a0bd2f1555de5e00fe6c87f988d0080" dmcf-pid="43dAGfTslg" dmcf-ptype="general">이번 공격의 핵심은 서로 다른 보안 취약점을 결합해 서버의 최고 관리자 권한을 확보했다는 점이다.</p> <p contents-hash="a919bb9644da929a8c18c5b3e2d292af1a9ba262e78bac2e75599dbd69c35abd" dmcf-pid="80JcH4yOTo" dmcf-ptype="general">해커들은 ‘PHP2Shell’로 불리는 취약점을 악용했다. 이들은 PHP의 메모리 처리 과정에 존재하는 취약점(CVE-2026-109618·CVE-2026-109619)을 이용해 원격에서 명령을 실행할 수 있는 환경을 마련했다.</p> <p contents-hash="a44fff0ed591364b8513b9a9a187efbed71c456a0f814b65960d2f01399d6505" dmcf-pid="6pikX8WIlL" dmcf-ptype="general">다만 이 단계에서 확보한 권한은 제한적이었다. 이에 해커들은 리눅스 커널의 취약점(CVE-2026-46300)을 추가로 악용해 최고 관리자(root) 권한을 탈취했다. 두 취약점을 연계하면서 별도의 인증 절차 없이 서버를 통제할 수 있게 된 것이다.</p> <p contents-hash="b5ce0bcaff83f071996867233aacb8f2f393d3a69610c920ab70247be551d106" dmcf-pid="PUnEZ6YCyn" dmcf-ptype="general">해커들은 이 공격을 통해 15분 내에 서버 최고 관리자 권한을 확보하고 외부에서 명령을 실행할 수 있는 별도의 프로그램까지 설치했다.</p> <p contents-hash="919f941cea365df0ca906d96f0807f8dc742cff8c556c3bdd9dcfc9237e1e526" dmcf-pid="QuLD5PGhSi" dmcf-ptype="general">더욱 심각한 것은 방화벽 장악 이후 내부 네트워크로 공격 범위가 확대됐다는 점이다.</p> <p contents-hash="dd8d30c16b7c249e6f1a8eb6cf65ed1c6bc027a391a17f7112adb16a33926428" dmcf-pid="x7ow1QHlTJ" dmcf-ptype="general">해커들은 미국 정부 관련 기관의 방화벽을 장악한 뒤 외부에서 직접 접근하기 어려운 내부 네트워크로 연결되는 통로를 구축했다. 이를 통해 중앙 방화벽 관리 서버에 침투했으며 조직 내부의 사용자 계정과 인증 체계에 접근했다.</p> <p contents-hash="04a369bdcec3e4e588ee5507e1a12d1083f6c66bce790633ce1c8ba863e61d7d" dmcf-pid="yktBLTd8hd" dmcf-ptype="general">실제로 해커들은 LDAP 서비스 계정의 비밀번호를 복호화하고, 마이크로소프트(MS)의 계정·접근권한 관리 시스템인 액티브 디렉터리(AD)에서 사용자와 그룹 정보를 수집한 것으로 확인됐다.</p> <p contents-hash="5338bed7b03e3239d9359cf81998f167237fd479a7d77b83e7e6a9c651105bda" dmcf-pid="WEFboyJ6le" dmcf-ptype="general">이 과정에서 인공지능(AI) 기술 활용 정황도 나타났다. 해커들이 사용한 인프라에서 ‘클로드 코드’가 설치됐던 흔적을 발견했고, AI 기반 보안 도구에서 중국 AI 모델 ‘딥시크’와 ‘키미’가 설정돼 있었다는 설명이다. 공격에 사용된 일부 스크립트에서도 AI가 생성했을 가능성이 있는 코드 구조도 발견됐다.</p> <p contents-hash="5ff7ef0618ce2eaca82c7b4b1dccba30344d3f1b3315bbe3f06a049c3e0339f3" dmcf-pid="YD3KgWiPSR" dmcf-ptype="general">이번 공격의 배후로 중국이 지목되는 배경에는 공격 환경에서 중국어로 작성된 명령과 중국 표준시를 사용하는 정황 등이 확인됐기 때문이다. 다만 특정 해커 조직이나 중국 정부의 개입 여부는 확인되지 않았다.</p> <p contents-hash="d0f225477ba01a850c92d0518e8fa2a590bf1b49bdcea7d5fd8b5a93a564dc8e" dmcf-pid="Gw09aYnQhM" dmcf-ptype="general">국내에서도 보안 대응의 필요성이 커지고 있다. 한국이 이번 공격 대상 국가에 포함됐기 때문이다. 다만 국내에서 실제 침해된 서버의 수와 피해 기관은 공개되지 않았다.</p> <p contents-hash="63997ebf9705369e784fb4275edd1bbdc828d96fb709da69b4b9ba341bd9580b" dmcf-pid="Hrp2NGLxWx" dmcf-ptype="general">김영욱 기자 wook95@dt.co.kr</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털타임스. 무단전재 및 재배포 금지.</p> 관련자료 이전 "AI 투자 감당할 체력 있나"…MS·구글, '현금흐름'이 희비 갈랐다 10-29 다음 경희대 AgeTech연구소, “2026년 돌봄기술·AgeTech 투자 원년”…피지컬 AI 중심 발전 방향 제시 10-29 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
