개인정보보호위원회는 최근 공개된 'PHP2Shell' 보안 취약점과 관련해 공공기관과 민간기업 등 개인정보처리자에게 개인정보 유출 예방을 위한 보호조치를 당부했다고 오늘(22일) 밝혔습니다.
지난 21일 공개된 PHP2Shell은 공격자가 별도의 로그인이나 인증 절차 없이 웹서버에서 악성 명령을 실행할 수 있는 PHP의 취약점입니다.
PHP는 웹서비스 개발·운영에 널리 사용되는 소프트웨어로, 해당 취약점이 악용되면 웹서버 침해뿐 아니라 연계된 데이터베이스(DB)에 저장된 이용자의 개인정보까지 유출될 우려가 있습니다.
특히 PHP 기반 DB 관리 도구인 phpMyAdmin 등이 외부에 노출돼 있거나 과도한 DB 접근권한이 부여된 경우 대량의 개인정보 유출로 이어질 위험이 있습니다.
이에 개인정보위는 PHP 사용 시스템의 버전을 확인하고 최신 보안패치를 적용하는 한편, 불필요한 웹서비스를 삭제할 것을 권고했습니다.
또 phpMyAdmin 등 DB 관리 도구의 인터넷 직접 접근을 제한하고, 웹서비스 계정의 개인정보 DB 접근권한을 최소화하도록 했습니다.
개인정보 DB의 대량 조회·반출 등 비정상적인 접근 여부를 점검하고 외주 개발·운영 시스템과 수탁업체, 호스팅 환경에서 사용 중인 PHP 소프트웨어도 확인해 조치하라고 당부했습니다.
양청삼 개인정보위 사무처장은 "이번 취약점은 홈페이지 자체의 침해에 그치지 않고 연결된 데이터베이스에 저장된 다수 이용자의 개인정보가 유출되는 대규모 피해로 이어질 우려가 있다"며 "보안 업데이트와 함께 의심스러운 접속 점검 등 관리 체계를 강화해야 한다"고 말했습니다.