개인정보보호위원회가 PHP 보안 취약점 ‘PHP2Shell’이 웹 서버 침해를 넘어 개인정보 유출로 이어질 수 있다며 공공기관과 민간기업에 보호조치를 신속히 이행하라고 당부했다. PHP를 사용하는 시스템의 버전과 보안패치를 확인하고, 데이터베이스(DB) 관리도구의 외부 접근을 제한하는 한편 개인정보 DB 접근권한과 비정상 조회·반출 기록을 점검하라는 내용이다. 개인정보위는 외주 개발·운영 시스템과 수탁업체, 호스팅 환경에서 사용하는 PHP도 확인 대상에 포함했다.
인증 없이 명령 실행…웹 서버에서 DB로 이어지는 위험
개인정보위는 23일 배포한 자료에서 지난 21일 발표된 PHP2Shell의 위험성을 알리고 개인정보처리자에게 예방 조치를 요청했다. 이 취약점은 공격자가 별도의 로그인이나 인증 절차를 거치지 않고 웹 서버에서 임의의 악성 명령을 실행할 수 있도록 한다. 과학기술정보통신부와 한국인터넷진흥원도 이번 취약점에 대한 조치 방안을 안내했다.
PHP는 웹서비스를 개발하고 운영하는 데 널리 쓰이는 프로그래밍 언어다. 개인정보위는 취약점이 악용되면 웹 서버가 침해되는 데서 그치지 않고, 서버와 연결된 DB에 저장된 이용자 개인정보까지 노출될 우려가 있다고 설명했다. 웹 서버와 개인정보 DB가 연계된 환경에서는 서버 침해가 개인정보에 대한 접근으로 이어질 수 있다는 점에서, 웹서비스 운영자는 PHP가 설치된 시스템뿐 아니라 연결된 데이터 처리 환경도 함께 살펴야 한다는 게 개인정보위의 당부다.
phpMyAdmin 노출과 과도한 권한도 점검 대상
개인정보위는 PHP 기반 DB 관리도구인 phpMyAdmin 등이 외부에 노출된 경우를 별도의 주의 대상으로 제시했다. 관리도구에 인터넷에서 직접 접근할 수 있는 상태라면 공격자가 이를 악용할 수 있고, 웹서비스 계정에 필요한 수준을 넘어서는 DB 접근권한이 설정돼 있다면 개인정보에 접근할 위험도 커질 수 있다. 취약점 자체의 점검만으로 그치지 말고, 관리도구의 노출 여부와 계정별 권한 설정을 함께 확인하라는 취지다.
특히 phpMyAdmin 등 관리도구가 외부에서 접근 가능한지, 웹서비스 계정이 개인정보 DB에 어느 범위까지 접근할 수 있는지 확인해야 한다. 개인정보위는 DB 관리도구의 인터넷 직접 접근을 제한하고, phpMyAdmin 소프트웨어의 버전을 확인해 업데이트하도록 권고했다. 불필요한 설정파일을 정리하는 조치도 포함됐다. 개인정보 DB에 대한 웹서비스 계정의 권한은 업무에 필요한 최소 수준으로 줄여야 한다고 밝혔다. 관리도구의 버전과 접근 경로, 계정 권한은 각각 별도의 점검 항목으로 제시됐다.
버전 업데이트와 불필요한 서비스 정리 권고
개인정보위는 PHP를 사용하는 시스템의 버전을 먼저 확인한 뒤 최신 보안패치를 적용하라고 당부했다. 사용하지 않는 웹서비스는 삭제해 불필요하게 운영되는 경로를 줄이도록 했다.
DB 관리도구도 최신 상태인지 확인하고 불필요한 설정파일이 남아 있지 않은지 살펴야 한다. 개인정보위의 권고는 소프트웨어 업데이트와 시스템 정리, 접근 통제를 함께 다룬다. PHP 버전 확인과 보안패치 적용에 더해 웹서비스 계정의 DB 접근권한을 최소화하고 phpMyAdmin 등의 외부 직접 접근을 제한하도록 했다. 개인정보처리자는 웹 서버의 보안 조치와 개인정보 DB의 접근 설정을 각각 확인하고, 사용하지 않는 서비스를 정리하는 조치를 진행해야 한다.
대량조회·반출 기록과 외부 운영환경 확인
개인정보위는 개인정보 DB에서 대량조회나 반출 등 비정상적인 접근이 있었는지도 점검하도록 했다. 이상 행위를 탐지하고 차단하는 체계를 갖추고 접속기록 관리를 강화하는 내용도 보호조치에 포함됐다. PHP 취약점에 대한 패치를 적용하는 것과 별개로, DB에서 평소와 다른 조회·반출이 발생했는지 확인하고 관련 접속기록을 살피도록 한 것이다.
점검 범위는 개인정보처리자가 직접 운영하는 시스템에 한정되지 않는다. 개인정보위는 외주 개발·운영 시스템과 수탁업체, 호스팅 환경에서 PHP 소프트웨어를 사용하고 있는지도 확인해 조치하라고 당부했다. 양청삼 개인정보위 사무처장은 “이번 취약점은 홈페이지 자체의 침해에 그치지 않고 이와 연결된 데이터베이스(DB)에 저장된 다수 이용자의 개인정보가 유출되는 등 대규모 피해로 이어질 우려가 있다”며 “보안 업데이트와 함께 의심스러운 접속 점검 등 관리 체계를 강화하여 국민의 개인정보가 유출되지 않도록 각별히 주의해야 한다”고 말했다.
개인정보위가 제시한 조치는 PHP 시스템의 버전 확인과 보안패치 적용, 불필요한 웹서비스 정리, DB 관리도구 접근 제한, 권한 최소화, 접속기록 점검으로 이어진다. 외주·수탁·호스팅 환경에서 사용하는 소프트웨어까지 확인해 개인정보 유출 예방 조치를 이행하라는 것이 개인정보처리자에 대한 당부다.
출처 : 해당 기관 보도자료
· · · · · · · · · ·
관련기사
▶ 개인정보위, PHP 취약점 악용한 개인정보 유출 예방조치 당부
▶ 과기정통부, 웹사이트 개발 언어 'PHP' 보안 취약점 관련 긴급 보안 업데이트 및 기술적 조치 당부
▶ PHP 취약점에 세계 비상…웹 인프라의 보안 공백 드러나
· · · · · · · · · ·
한국사회복지저널은 AI 기술의 도움을 받아 보도자료와 복지 정보를 보다 쉽고 정확하게 전달하기 위해 노력하고 있습니다.
