개인정보위, PHP2Shell 취약점 악용한 개인정보 유출 주의 당부

개인정보보호위원회(이하 개인정보위, 위원장 송경희)는 최근 공개된 PHP 보안 취약점 ‘PHP2Shell’과 관련해 공공기관과 민간기업 등 개인정보처리자에게 개인정보 유출 예방을 위한 긴급 보호조치를 당부했다고 22일 밝혔다.

지난 21일 공개된 PHP2Shell은 공격자가 별도의 로그인이나 인증 절차 없이 웹서버에서 악성 명령을 실행할 수 있는 취약점이다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 해당 취약점에 대한 보안 업데이트와 조치 방안을 안내했다.

PHP는 웹서비스 개발과 운영에 널리 사용하는 프로그래밍 언어다. 이번 취약점이 악용되면 웹서버 침해뿐 아니라 서버와 연결된 데이터베이스(DB)에 저장된 이용자의 개인정보까지 유출될 우려가 있다.

특히 PHP 기반 DB 관리도구인 ‘phpMyAdmin’ 등이 외부 인터넷에 노출됐거나 DB 접근 권한을 과도하게 부여한 경우 위험이 커질 수 있다. 공격자가 이러한 관리 환경을 악용하면 대량의 개인정보에 접근할 가능성이 있기 때문이다.

이에 개인정보위는 PHP를 사용하는 시스템의 버전을 확인하고 최신 보안패치를 적용하도록 권고했다. 불필요한 웹서비스를 삭제하는 조치도 요구했다.

DB 접근통제 강화도 당부했다. phpMyAdmin 등 관리도구에 인터넷에서 직접 접근하지 못하도록 제한하고 해당 소프트웨어를 최신 버전으로 업데이트해야 한다. 불필요한 설정파일을 정리하고 웹서비스 계정에 부여한 개인정보 DB 접근 권한도 최소화하도록 했다.

개인정보 대량 유출을 막기 위한 점검도 필요하다. 개인정보위는 DB에서 비정상적인 대량조회나 정보 반출이 발생했는지 확인하고 이상 행위 탐지·차단 기능과 접속기록 관리를 강화하도록 권고했다.

외주 개발·운영 시스템과 수탁업체, 호스팅 환경도 점검 대상이다. 개인정보위는 기업이 직접 관리하지 않는 시스템에서도 PHP 사용 여부를 확인하고 필요한 보호조치를 적용해야 한다고 강조했다.

양청삼 개인정보위 사무처장은 “이번 취약점은 홈페이지 자체의 침해에 그치지 않고, 이와 연결된 데이터베이스에 저장된 다수 이용자의 개인정보가 유출되는 등 대규모 피해로 이어질 우려가 있다”며 “보안 업데이트와 함께 의심스러운 접속 점검 등 관리 체계를 강화해 국민의 개인정보가 유출되지 않도록 각별히 주의해야 한다”고 말했다.

글. 바이라인네트워크
<곽중희 기자> god8889@byline.network