싱가포르 보안기업 사이퍼마는 익명 네트워크 I2P에서 한국어를 사용하는 조직원들이 PHP 취약점 ‘PHP2Shell’(CVE-2026-109618, CVE-2026-109619)을 이용한 공격을 준비한 정황을 확인했다고 밝혔다. 이 취약점은 로그인이나 인증 없이 조작된 웹 요청만으로 서버에서 원격 명령을 실행할 수 있어 위험도가 높다. 논의된 표적에는 정부기관과 은행 등 금융기관이 먼저 거론됐고, 제조업·물류·해운·공항·항공·온라인 거래 플랫폼·무역회사·건설사도 포함됐다. 지역은 한국, 미국, 일본, 호주, 대만, 인도, 싱가포르, UAE, 사우디아라비아, EU가 언급됐다.
사이퍼마에 따르면 관련 세력은 공개된 취약점 공략 코드(PoC)를 모은 뒤 자체 AI 모델로 우선순위를 정하고, 통제된 환경에서 검증하는 방식으로 준비를 진행했다. 이 활동은 ‘June 2026 Minjun’ 캠페인으로 명명됐다. 다만 북한 라자루스 그룹과의 연계 평가는 ‘중간’ 수준이며, 악성코드나 공격 인프라가 직접 겹친 증거는 확인되지 않았다. 현재 분명한 사실은 실제 공격 논의와 고위험 취약점의 존재다. PHP 개발팀은 21일 보안 업데이트를 배포했고, 과학기술정보통신부와 KISA는 22일 주의 경보와 대응 수칙을 안내했다.