朝鲜黑客利用PHP漏洞袭击韩国

朝鲜 Lazarus 集团正筹备针对韩国的 PHP 漏洞利用行动

一家位于新加坡的网络安全公司检测到，朝鲜黑客正在准备利用 PHP 关键漏洞，对韩国政府和金融机构发动协同网络攻击。这次行动被命名为"2026年6月 Minjun"——“Minjun"指韩国执政党共同民主党——这是近年来 Lazarus Group 关联人员执行的最复杂的国内定向行动之一。

CYFIRMA 在 I2P（一个提供匿名通信的封闭网络）上识别出该威胁活动。与 Lazarus Group 相关的韩语使用者被观察到使用最近披露的两个 PHP 漏洞讨论攻击策略和侦察活动：CVE-2026-109618 和 CVE-2026-109619，即 PHP2Shell。行动代号本身就表明政治动机，暗示行动时间可能与韩国国内政治中的选举活动或党派目标相一致。

关键漏洞允许远程命令执行

PHP2Shell 漏洞特别危险，因为它允许攻击者在无需任何身份验证或登录流程的情况下，在 Web 服务器上远程执行命令。一次被操控的 Web 请求即可导致整个服务器沦陷，使操作者获得对底层基础设施的完全控制权。通用漏洞评分系统（CVSS）将这两个漏洞均评定为 9.2 分（满分 10 分），列为"危急"级别，属于最严重的软件漏洞类别。

PHP 在全球约 70% 的网站中运行，因此这一漏洞的影响远超出朝鲜半岛范围。基于 PHP 框架构建的主要内容管理系统、企业应用程序和政府门户在补丁发布前仍暴露于风险之中。然而，CYFIRMA 识别出的特定攻击模式表明这是一场集中投放的行动，而非大规模机会主义利用。这一区分至关重要，因为它表明这是有意的战略优先排序，而非广泛的以经济利益或情报搜集为驱动的大规模攻击。

政府和金融目标被优先锁定

攻击计划将韩国政府机构和银行机构作为主要目标。这些行业被刻意选定：政府门户可提供访问敏感政策信息和跨部门协调系统的途径，而金融机构则既可通过盗窃获取直接经济收益，也可通过市场操纵或支付系统破坏带来间接价值。

其他被监控的部门包括制造业、物流与航运、机场与航空运营、在线交易平台、贸易公司和建筑企业。每个部门都具有独特的战略价值。制造业数据可提供产能和供应链依赖的洞察。物流与航运信息可破坏对韩国出口导向型经济至关重要的贸易路线。航空和机场运营代表潜在的关键安全目标，一旦遭到破坏，可能引发超越纯数字领域的连锁失效。

地理范围不止于韩国，还包括美国、日本、澳大利亚、台湾、印度、新加坡、阿联酋、沙特阿拉伯及欧盟成员国。这种分布表明 Lazarus Group 在多个战区保持能力储备，同时集中即时精力于韩国基础设施。广泛的足迹也确保在韩国反制措施削弱主要攻击走廊时，具备备用基础设施。

系统化的准备工作显示专业行动水准

CYFIRMA 报告称，操作者收集了漏洞的公开概念验证（PoC）代码。随后，他们使用定制人工智能模型对目标进行优先级排序，并在受控环境中测试漏洞利用后再部署。这种方法显示出显著的作战复杂度和资源，通常与国家支持威胁组织相关。

使用 AI 驱动的目标选择标志着从传统基于扫描的侦察方式的显著演变。操作者不再对易受攻击主机进行暴力枚举，而是训练模型根据预期影响、利用难度和战略价值对潜在受害者进行排名。这种效率提高了成功入侵的概率，同时减少了自动化扫描工具通常产生的检测窗口。这也表明该组织保持有内部机器学习能力，而非完全依赖商业或开源工具。

行动命名惯例和目标模式与已知的 Lazarus Group 作战特征一致，尽管将行动与朝鲜直接关联的直接证据仍不完整。之前的 Lazarus 行动显示出对金融部门目标的类似偏好、AI 辅助侦察以及精心设计用于维持持久访问的后渗透程序。

归属认定挑战使应对复杂化

安全专家指出，虽然行为指标具有指向性，但要确凿地将行动归因于朝鲜国家行为体，仍需更多证据。一名安全专家告诉韩联社，CYFIRMA 认定朝鲜参与主要基于韩语通信、目标选择模式偏向政府和金融机构，以及攻击战术与 Lazarus Group 在以往 web shell 行动中使用的手段相似。

尚未有恶意软件或攻击基础设施的重叠直接证实该行动与 Lazarus Group 的关联。根据 CYFIRMA 的评估，归属置信度保持在中等水平。高置信度行为指标与不完整技术归因之间的差距，为防御方带来实际问题：即使无法明确锁定肇事者，威胁也是切实存在的。组织必须为来自朝鲜来源的攻击做好准备，无需等待通常在行动结束后数月才出现的法医级确定性。

韩国发布安全警报

韩国科学技术信息通信部和韩国互联网与安全机构（KISA）于22日就 PHP 漏洞发布了警示级别警报，指示企业实施安全措施。这一反应表明已意识到威胁，但未确认朝鲜参与，在保持外交灵活性的同时推动采取行动。

韩方及国际网络安全公司在归属认定上的谨慎做法产生了信息差，西方网络安全组织可能在商业压力推动披露时间表时加以利用。仅依赖美国或欧洲威胁情报报告的组织，可能在美国或欧洲方面行动建议到来数日后才获得有效信息。这种动态引发了关于全球网络安全情报信息不对称的更广泛问题，拥有本地语言能力和直接政府合作的区域性公司，在威胁探测速度上持续领先于国际竞争对手。

区域影响超越网络安全范畴

PHP2Shell 漏洞影响亚太地区的基础设施，不仅限于韩国。日本、澳大利亚、台湾和新加坡的政府及金融机构面临相同暴露面。被行动针对的制造业和航运部门是关乎全球供应链的关键经济走廊。一个主要港口物流平台遭成功入侵，其连锁效应可能波及集装箱航运时刻表、保险市场和大宗商品定价，远超原定目标国范围。

行动聚焦于跨越国防、金融、能源和交通的基础设施，反映了一种混合威胁行动的日益增长的模式，模糊了情报收集、经济破坏和动能战争准备之间的界限。被攻陷的工业控制系统、支付路由网络和通信基础设施提供了远超数据窃取范围的杠杆，创造了传统网络防御框架难以应对的升级路径。

尽管归属存在不确定性，防御措施仍至关重要

即使朝鲜关联无法得到确凿证实，PHP2Shell 漏洞本身仍构成需立即关注的合法重大威胁。运行 PHP Web 服务器的组织应打上补丁、审查访问日志以查找可疑活动，并部署配置为检测漏洞利用尝试的 Web 应用程序防火墙（WAF）。网络分段应将依赖 PHP 的服务与关键内部系统隔离，以在发生入侵时限制横向移动。

安全团队还应审计第三方软件依赖。许多组织运行着带有过时插件、主题或框架扩展的 PHP 栈，这些扩展继承了未维护代码库的漏洞。如果脆弱模块未得到处理，仅修补核心 PHP 安装无法消除风险敞口。

行动时机与政治背景

“2026年6月 Minjun"行动命名暗示时机可能具有政治意义。无论是否与选举周期、外交紧张或纪念日相关，目前仍不清楚。韩国安全当局密切监测局势，同时在归属确定性上保持审慎公开表态。刻意使用具有政治色彩的代号表明，操作者了解并利用这一点，可能希望通过目标和时间的选择来影响韩国国内舆论。

对于追踪事态发展的国际读者，韩语来源和区域安全公司将持续提供比西方同行更早的情报。关注 CYFIRMA 的更新和 KISA 的 advisories 将获得比等待美国或欧洲网络安全报告更及时的信息，后者通常滞后于威胁探测数天甚至数周。在亚太地区开展业务组织应将此次行动视为需要立即采取防御措施的活跃威胁，不论最终归属结果如何。

关键未修补漏洞、有能力且动机明确的威胁行为体，以及高度集中的高价值目标，三者交汇形成了一个需要紧迫应对的威胁环境。无论 Lazarus Group 是否执行此次具体行动，PHP2Shell 漏洞都会被其他行为者发现并利用。延迟补丁的每一日都增加韩国基础设施遭入侵的概率，其对区域金融稳定 and 供应链连续性的次生影响可能非常重大。