오늘의 보안 뉴스 - 2026-10-25

오늘의 브리핑

PHP와 Node.js 등 오픈소스 핵심 라이브러리에서 고위험 취약점이 연달아 발견되었습니다.

북한 연계 해커들이 AI를 활용해 패치 공개 직후 취약점 무기화에 나서고 있습니다.

공급망 해킹과 외부 IT 수탁사를 통한 개인정보 유출 위협이 전방위로 확산 중입니다.

보안뉴스

[PHP 파장] 패치 하루 만에 움직인 北 해커?… AI로 ‘PHP2Shell’ 무기화해 韓 정부·금융 노린다

PHP 취약점 공개 직후 북한 연계 해커 조직이 AI를 동원해 공격 무기화에 나섰습니다.

글로벌 웹사이트 10곳 중 7곳에서 사용하는 핵심 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 발견된 가운데, 북한 정찰총국 산하 라자루스(Lazarus Group) 생태계와 연계된 한국어 사용 해킹 조직이 이를 악용하려는 움직임이 포착됐습니다. 위협 인텔리전스 기업 사이퍼마의 보고서에 따르면 공격자들은 패치 배포 하루 만에 인공지능(AI) 기술을 활용하여 ‘PHP2Shell’ 취약점을 무기화하고 국내외 주요 정부 및 금융 기관을 공격 표적으로 설정했습니다. 보안 취약점 공개 이후 실제 공격 도구가 개발되기까지의 시간이 극단적으로 짧아지면서 위협의 심각성이 커지고 있습니다. 특히 한국어를 사용하는 공격 주체가 비공개 통신망을 통해 공격 코드를 시험하는 등 구체적인 실행 단계에 진입한 것으로 파악됐습니다. 기사는 취약점 노출에 따른 피해를 막기 위해 국내외 주요 기관들이 최우선으로 신속하게 보안 패치를 적용할 것을 당부했습니다.

“채용 공고 열었더니 시스템 장악”… 라자루스·신종 백도어 경보

라자루스 해킹 조직이 가짜 채용 문서와 제로데이 취약점을 악용해 기업 시스템 장악을 시도하고 있습니다.

북한 연계 해킹 그룹 라자루스(Lazarus Group)가 IT 개발자와 구직자를 겨냥해 가짜 채용 공고 PDF 파일을 유포하는 표적 공격을 감행하고 있습니다. 글로벌 위협 인텔리전스 기업 사이퍼마의 주간 보고서에 따르면 해당 악성 PDF를 열 경우 맥OS(Mac OS) 환경의 시스템이 악성코드에 감염되어 원격 조종당하게 됩니다. 이와 함께 정상적인 윈도우 업데이트 프로그램으로 위장한 백도어(시스템에 몰래 설치되는 침입 통로)와 원격지원 솔루션의 제로데이 취약점(보안 패치가 나오지 않은 미공개 취약점)을 노린 공격도 전방위로 확산되는 양상입니다. 특히 가상자산 관련 기업과 한국의 공공기관이 주요 표적이 되고 있어 산업 전반의 주의가 요구됩니다. 기사는 정교해지는 사회공학적 기법과 미확인 파일 실행 위험에 대비해 엄격한 계정 관리와 최신 위협 정보 모니터링 강화를 강조했습니다.

1978년 기록까지 나왔다… 영국 법률구조청 해킹, 포렌식 끝에 피해 범위 커져

영국 법률구조청 해킹 사고의 포렌식 조사 결과 1978년 기록을 포함한 과거 데이터 유출이 확인됐습니다.

영국 법률구조청(LAA)에서 발생한 사이버 공격의 포렌식(디지털 증거 분석) 조사 결과, 당초 발표보다 훨씬 오래된 과거 데이터까지 유출된 사실이 밝혀졌습니다. 세라 색먼 영국 법무부 장관이 의회 서면 성명을 통해 밝힌 내용에 따르면, 2025년 5월 최초 공개 당시에는 2010년 이후 신청자 정보만 영향받은 것으로 파악됐으나 추가 조사에서 2007년 이전 기록 약 25만 건이 포함된 것으로 확인됐습니다. 특히 유출된 데이터 중 가장 오래된 기록은 1978년에 작성된 것으로 드러났으며 1990년대와 2000년대 기록이 대부분을 차지하고 있습니다. 오래된 방치 데이터가 제대로 폐기되지 않아 해킹 시 2차 피해 규모가 대폭 확대된 사례로 평가됩니다. 기사는 이번 조사 결과를 바탕으로 법률구조청이 영향을 받은 대상자들에게 피해 사실을 알리고 데이터 보관 및 관리 체계를 전면 재점검하고 있다고 전했습니다.

데일리시큐

대한항공·아시아나 고객정보 유출…예약·발권 맡긴 아마데우스서 비인가 접근

대한항공과 아시아나항공의 고객 개인정보가 외부 IT 수탁사 시스템을 통해 유출되는 사고가 발생했습니다.

대한항공과 아시아나항공 고객의 항공권 예약 및 발권 관련 개인정보가 글로벌 IT 외부 수탁사인 아마데우스(Amadeus) 시스템의 비인가 접근으로 인해 유출된 정황이 확인됐습니다. 항공사 내부 데이터베이스(DB)에 대한 직접적인 침해 흔적은 발견되지 않았으나, 고객 정보를 위탁받아 처리하는 외주 IT 운영 시스템의 보안이 뚫리면서 개인정보가 외부에 노출됐습니다. 양사는 10월 20일 밤 아마데우스 측으로부터 데이터 유출 정황을 전달받은 직후 긴급 보안 강화 조치를 시행했습니다. 이번 사고는 자체 시스템 보안뿐만 아니라 공급망 및 외부 협력사의 계정 접근 권한 관리가 사이버 보안의 핵심 과제임을 보여줍니다. 기사는 현재 아마데우스 측에서 구체적인 유출 범위와 정확한 사고 경위를 조사하고 있다고 설명했습니다.

[단독] 한진그룹 IT 서비스 전문기업 한진정보통신 해킹…항공·물류 공급망 보안 위협 우려

한진그룹 IT 전문기업 한진정보통신이 외부 해킹으로 내부 시스템 이용자 정보 유출을 인정했습니다.

한진그룹의 IT 서비스를 담당하는 한진정보통신이 외부 해킹 공격을 받아 고객과 직원 개인정보가 유출된 사실을 공식 인정했습니다. 앞서 랜섬웨어 해킹 조직 ‘n0n’은 10월 21일 다크웹에 한진정보통신을 침해했다고 주장하며 직원 및 고객사 계정 정보와 협력업체 데이터 등을 탈취했다고 게시했습니다. 이후 한진정보통신은 23일 자사 홈페이지 공지를 통해 IT서비스관리(ITSM) 시스템 이용자 980명의 이름과 이메일 주소가 유출된 것을 확인했다고 발표했습니다. 이번 침해 사고는 그룹 내 항공 및 물류 전반의 IT 인프라를 담당하는 전문 기업이 공격받았다는 점에서 연쇄적인 공급망 보안 위협 우려를 낳고 있습니다. 기사는 회사 측이 사고 파악 후 해당 시스템 차단 및 보안 조치를 진행하고 있으며 피해 최소화에 집중하고 있다고 밝혔습니다.

북한 연계 의심 해킹조직, ‘PHP2Shell’ 공격 준비 정황 포착…한국 정부·금융기관도 표적 후보

북한 연계 추정 해커 그룹이 PHP2Shell 취약점을 악용해 한국 정부와 금융기관 공격을 준비하고 있습니다.

글로벌 웹 프로그래밍 언어 PHP의 신규 보안 취약점 ‘PHP2Shell’을 악용하여 국내외 주요 기관을 공격하려는 해킹 조직의 움직임이 감지됐습니다. 위협 인텔리전스 기업 사이퍼마의 10월 23일 보고서에 따르면, 한국어를 사용하는 공격자가 비공개 통신망에서 PHP2Shell 공개 공격 코드를 검증하고 국내 정부 기관과 금융회사를 공격 대상 표적으로 선정한 정황이 발견됐습니다. 비록 북한 해킹 조직의 소행이라는 직접적인 물증이나 실제 공격 성공 여부는 최종 확인되지 않았으나, 위협 행위자의 기술적 준비도가 매우 높은 상태입니다. 패치 배포 직후 공격 대상 선택과 무기화가 빠르게 이루어지는 만큼 국내 보안 관리자들의 빠른 대응이 필요한 시점입니다. 기사는 한국 정부와 금융기관 등 주요 대상 시스템의 즉각적인 보안 패치 적용 및 취약점 점검을 강조했습니다.

[긴급] PHP2Shell 이어 이번엔 ‘Node2Shell’…Node.js 치명적 취약점, 인증 없이 서버 장악 위험

Node.js에서 인증 없이 서버를 장악할 수 있는 고위험 취약점 Node2Shell이 발견되어 업데이트가 시급합니다.

웹 서버 개발에 널리 쓰이는 Node.js 환경에서 원격 코드 실행(RCE)이 가능한 치명적 보안 취약점 ‘Node2Shell(CVE-2026-111497)‘이 발견되었습니다. 공격자가 악의적으로 조작한 압축 데이터를 서버에 전송하면 인증 절차를 거치지 않고도 서버 프로그램을 비정상 종료시키거나 조건에 따라 악성코드를 원격 실행할 수 있습니다. Node.js 개발팀은 10월 21일 해당 취약점의 위험도를 ‘높음(High)‘으로 분류하고 즉시 보안 업데이트를 긴급 배포했습니다. 앞서 발견된 PHP2Shell에 이어 주요 서버 개발 플랫폼에서 연달아 치명적 결함이 노출되면서 인터넷 서비스 전반에 비상이 걸렸습니다. 보안업체 임퍼바 등 주요 기관들은 서버 장악 위험성을 경고하고 있습니다. 기사는 Node.js를 사용하는 운영 환경에서 최신 보안 버전으로 즉시 패치할 것을 강력히 권고했습니다.

The Hacker News

Node.js RCE 유발한 Brotli 디코더 결함, Bun 및 Python 등 주요 소프트웨어에도 영향

Google Brotli 디코더의 메모리 손상 취약점이 Node.js뿐만 아니라 Bun과 Python 등 다수 소프트웨어에 영향을 미칩니다.

구글의 압축 해제 라이브러리인 브로틀리(Brotli) 디코더에서 발견된 메모리 손상 결함이 Node.js를 넘어 Bun, Python, Envoy 등 다양한 주요 소프트웨어로 확산되고 있습니다. CVE-2026-111497로 식별된 이 취약점은 Brotli로 압축된 데이터를 해제하는 프로그램 내부에서 발생합니다. 공격자가 특수하게 제작한 압축 데이터를 전송할 경우 버퍼(데이터가 임시 저장되는 메모리 공간) 경계를 넘어 데이터를 덮어써서 메모리를 오염시킬 수 있습니다. 이로 인해 프로그램이 강제 종료되거나 심할 경우 원격 코드 실행(RCE)으로 이어질 수 있습니다. Bun runtime과 Python의 brotlicffi 패키지, Envoy 프록시 등 Brotli 해제를 사용하는 광범위한 생태계가 위험에 노출된 상태입니다. 기사는 관련 패키지 개발자들이 Brotli 라이브러리를 최신 버전으로 업데이트해야 한다고 전했습니다.

유출된 LiteLLM 마스터 키로 공격자가 GitHub 토큰 탈취 및 릴리스 파이프라인 장악

LiteLLM의 마스터 키가 실수로 공개 저장소에 유출되어 파이썬 패키지 배포 파이프라인이 장악당했습니다.

인기 오픈소스 파이썬 패키지 LiteLLM의 마스터 키가 실수로 공개 깃허브(GitHub) 저장소에 유출되면서 공격자에 의해 배포 파이프라인이 장악되는 사고가 발생했습니다. LiteLLM 측의 발표에 따르면 2026년 5월 27일 공개 저장소인 ‘LiteLLM-Labs/lite-harness’에 설정 파일을 커밋하는 과정에서 에이전트 플랫폼 배포 마스터 키가 실수로 포함되었습니다. 공격자는 이 유출된 마스터 키를 악용해 깃허브 인증 토큰을 탈취하고, 패치 및 릴리스 배포 파이프라인에 접근하여 악성코드가 포함된 패키지 버전을 무단 등록했습니다. 자격 증명 관리의 소홀함이 소스코드 및 소프트웨어 공급망 전체의 오염으로 이어진 전형적인 공급망 공격 사례입니다. 기사는 개발자들이 공개 저장소에 비밀 키나 토큰이 포함되지 않도록 자동화된 시크릿 검사 도구를 활용해야 한다고 강조했습니다.

구글, AI 검색에 공유된 지메일·포토 데이터가 맞춤형 광고에 활용될 수 있음을 고지

구글이 AI 검색 및 제미나이 기능 이용 시 개인 서비스 데이터가 맞춤형 광고에 활용될 수 있음을 고지했습니다.

구글이 개정된 개인정보 처리방침을 통해 AI 검색이나 제미나이(Gemini) 앱 등 맞춤형 AI 기능을 사용할 경우 타 서비스 데이터가 맞춤형 광고 제공에 활용될 수 있음을 밝혔습니다. 사용자가 구글 검색이나 AI 기능이 지메일(Gmail), 구글 포토 등 연동된 개인 서비스의 데이터에 접근하도록 허용하면, 해당 활동 정보가 구글 맞춤형 광고 타겟팅 시스템에 반영될 수 있다는 내용입니다. 이는 AI 편의 기능을 사용하는 대가로 개인적이고 민감한 정보가 광고 마케팅 데이터로 전환될 수 있음을 명시적으로 경고한 것입니다. AI 기술의 도입과 더불어 개인정보 수집 및 활용 범위가 넓어짐에 따라 데이터 프라이버시에 대한 우려가 커지고 있습니다. 기사는 사용자가 구글 계정의 개인정보 설정에서 데이터 공유 옵션을 신중히 확인하고 관리해야 한다고 전했습니다.

보안 연구진, 봇넷 악용 방지 위해 팝콘 타임 업데이터 200만 여 건 원격 비활성화

보안 연구진이 봇넷 악용 위험이 있는 불법 스트리밍 앱의 업데이터 200만 건을 원격 비활성화했습니다.

네덜란드 보안 기업 아이 시큐리티(Eye Security) 연구진이 봇넷으로 악용될 위험이 있는 백그라운드 업데이터를 원격으로 비활성화하기 위해 200만 건 이상의 자동 업데이트를 배포했습니다. 대상 시스템은 토렌트 기반 무단 영화 스트리밍 프로그램인 팝콘 타임(Popcorn Time)의 방치된 변종 파일 ‘Time4Popcorn’이 설치된 PC들이었습니다. 해당 프로그램의 백그라운드 업데이터는 보안이 매우 취약하여 외부 해커가 무단으로 시스템을 장악하고 대규모 봇넷(해커가 원격 조종하는 감염 기기 네트워크)을 구축하는 데 악용될 수 있는 상태였습니다. 연구진은 2025년 11월부터 2026년 3월 사이에 소유권이 없는 타인의 PC 200만여 대에 원격 명령을 전송하여 해당 업데이터 기능을 안전하게 끄는 독특한 방식을 취했습니다. 기사는 방치된 소프트웨어가 거대한 사이버 위협으로 변할 수 있어 연구진이 불가피하게 선제적 비활성화 조치를 취했음을 전했습니다.

CISA, 실제 공격에 악용 중인 Collabora 및 Arista 취약점 2종 긴급 지정

미국 CISA가 Collabora 및 Arista 제품에서 실제 악용 중인 고위험 취약점 2종을 KEV 목록에 지정했습니다.

미국 국토안보부 산하 사이버안보·인프라보안국(CISA)이 실제 공격에 적극 악용되고 있는 치명적 보안 취약점 2종을 Known Exploited Vulnerabilities(KEV) 목록에 추가했습니다. 이번에 지정된 취약점은 Collabora Online Built-in CODE Server와 Arista VeloCloud Orchestrator(VCO) 제품에 존재하는 결함입니다. 이 중 CVE-2026-110447은 CVSS 점수 9.2점의 심각한 운영체제(OS) 명령어 주입 취약점으로, 공격자가 원격에서 인증 없이 시스템 명령을 실행시킬 수 있습니다. CISA는 해당 취약점들이 실제 현장에서 위협 행위자들에 의해 활발히 탐색되고 공격에 쓰이고 있음을 확인했다고 발표했습니다. 연방 기관은 지정된 기한 내에 필수적으로 보안 패치를 완료해야 합니다. 기사는 이번 경고가 해당 솔루션을 사용하는 기업과 기관에 신속한 위협 조치를 촉구하기 위한 것이라고 전했습니다.

오늘의 용어

무기화(Weaponization) - 공개된 보안 취약점을 실제 시스템 침투 및 공격에 사용할 수 있도록 악성코드나 exploit 도구 형태로 제작하는 과정을 의미합니다.
백도어(Backdoor) - 정상적인 인증 절차를 거치지 않고 시스템에 원격으로 접속할 수 있도록 공격자가 설치해 둔 비밀 통로입니다.
디지털 포렌식(Digital Forensics) - 사이버 범죄나 보안 사고 발생 시 디지털 기기에 남아있는 증거를 수집·분석·복원하여 사고 원인과 피해 범위를 규명하는 기술입니다.
공급망 공격(Supply Chain Attack) - 보안이 철저한 본사 대신 상대적으로 취약한 외주 수탁사나 협력 업체의 시스템을 거쳐 최종 목표를 공격하는 방식입니다.
ITSM(IT Service Management) - 기업 내 IT 서비스를 기획, 설계, 운영, 관리하기 위해 사용하는 표준화된 정보기술 서비스 관리 시스템입니다.
익스플로잇 코드(Exploit Code) - 시스템의 보안 취약점을 이용해 비인가 접근을 시도하거나 악성 동작을 일으키도록 작성된 공격용 프로그램입니다.
원격 코드 실행(RCE, Remote Code Execution) - 공격자가 멀리 떨어진 위치에서 타깃 시스템에 임의의 악성 명령어나 코드를 실행시키는 치명적인 보안 취약점입니다.
메모리 오염(Memory Corruption) - 프로그램이 메모리 경계를 올바르게 검증하지 않아 정해진 영역 밖의 데이터를 덮어씀으로써 의도치 않은 동작이나 악성 코드 실행을 유발하는 결함입니다.
시크릿 유출(Secrets Leakage) - API 키, 암호, 마스터 키 등 비공개 인증 정보가 코드 저장소나 설정 파일 등을 통해 외부에 노출되는 보안 문제입니다.
맞춤형 광고(Targeted Ads) - 사용자의 검색 기록, 이메일, 데이터 활동 내역 등을 분석하여 개인의 관심사에 맞춰 제공하는 표적형 광고 기법입니다.
봇넷(Botnet) - 악성코드에 감염되어 해커의 C2 서버 명령에 따라 동시 공격(DDoS 등)을 수행하는 컴퓨터들의 네트워크입니다.
KEV(Known Exploited Vulnerabilities) - 미국 CISA가 실제 현장에서 해커들에 의해 악용되고 있음을 확인하여 긴급 패치가 필요한 취약점들을 정리한 목록입니다.