개인정보위, PHP 'PHP2Shell' 취약점 경보…DB 접근통제·긴급 패치 당부

개인정보보호위원회가 웹서비스에 널리 쓰이는 PHP에서 원격 코드 실행 취약점 'PHP2Shell'이 공개되자 공공기관과 민간기업 등 개인정보처리자에게 긴급 보호조치를 당부하고 나섰다. 이 취약점은 공격자가 별도 로그인이나 인증 없이도 웹서버에서 임의의 악성 명령을 실행할 수 있는 것이어서, 웹서버 침해를 넘어 연계된 데이터베이스에 저장된 이용자 개인정보 유출로 이어질 수 있다.

문제는 개인정보가 몰려 있는 구간이다. 개인정보위는 PHP 기반 데이터베이스 관리도구인 phpMyAdmin 등이 외부에 노출돼 있거나 과도한 DB 접근권한이 부여된 경우, 공격자가 이를 악용해 대량의 개인정보에 접근할 위험이 크다고 보고 있다. 취약점은 지난 10월 21일 공개됐으며 과학기술정보통신부와 한국인터넷진흥원이 조치 방안을 안내했다. 한국인터넷진흥원 보호나라는 21일 PHP 제품 보안 업데이트 권고를, 22일에는 기업 보안 대응 수칙을 잇달아 게시했다.

개인정보위가 제시한 조치는 네 가지다. 우선 PHP를 사용하는 시스템의 버전을 확인해 최신 보안패치를 적용하고 불필요한 웹서비스를 삭제해야 한다. phpMyAdmin 등 DB 관리도구의 인터넷 직접 접근을 제한하고, 소프트웨어 버전을 확인해 업데이트한 뒤 불필요한 설정파일도 정리해야 한다. 웹서비스 계정에 부여된 개인정보 DB 접근권한 역시 최소화해야 한다.

대량 유출을 막기 위한 점검도 병행해야 한다. 개인정보 DB에 대한 대량조회와 반출 등 비정상 접근이 있었는지 확인하고, 이상 행위 탐지·차단과 접속기록 관리를 강화하라는 것이다. 아울러 외주 개발·운영 시스템이나 수탁업체, 호스팅 환경에서 사용 중인 PHP 소프트웨어가 있는지도 살펴 조치해야 한다고 개인정보위는 강조했다.

양청삼 개인정보위 사무처장은 "이번 취약점은 홈페이지 자체의 침해에 그치지 않고, 이와 연결된 데이터베이스에 저장된 다수 이용자의 개인정보가 유출되는 등 대규모 피해로 이어질 우려가 있다"며 "보안 업데이트와 함께 의심스러운 접속 점검 등 관리 체계를 강화해 국민의 개인정보가 유출되지 않도록 각별히 주의해야 한다"고 말했다.