[PHP 취약점 파장] 개인정보위 "DB 개인정보 유출 막아야"...'긴급 보안 패치' 촉구

인증 없이 웹서버 악성 명령 실행 가능⋯보안 패치 긴급 당부 "phpMyAdmin 외부 접근 차단·대량 조회 등 이상 접속 점검해야" [아이뉴스24 최효경 기자] 개인정보위는 웹서비스를 운영하는 개인정보처리자에게 PHP 사용 시스템의 보안 패치 적용과 DB 관리도구 접근 통제, 이상 접속 기록 점검 등 긴급 보호조치를 이행해달라고 22일 밝혔다.개인정보보호위원회 [사진=박정민 기자] phpMyAdmin 외부 노출·과도한 권한 주의 PHP 보안 취약점 'PHP2Shell'은 지난 21일 공개된 취약점이다. 공격자가 인증 절차를 거치지 않고도 PHP 기반 웹서버에서 임의의 악성 명령을 실행할 수 있는 것으로 알려졌다. PHP는 웹서비스 개발·운영에 널리 쓰이는 프로그래밍 언어다.개인정보위는 특히 PHP 기반 DB 관리도구인 'phpMyAdmin' 등이 인터넷에 직접 노출됐거나 웹서비스 계정에 과도한 DB 접근 권한이 부여된 경우를 주의해야 한다고 강조했다. 취약점이 악용되면 웹서버 침해를 넘어 DB에 저장된 다수 이용자의 개인정보에 접근할 수 있기 때문이다.이에 따라 개인정보처리자는 PHP 사용 시스템의 버전을 확인해 최신 보안 패치를 적용하고, 불필요한 웹서비스는 삭제해야 한다. phpMyAdmin 등 DB 관리도구의 인터넷 직접 접근도 제한하고 소프트웨어 업데이트와 불필요한 설정 파일 정리도 병행해야 한다.웹서비스 계정이 개인정보 DB에 접근할 수 있는 권한은 최소화해야 한다. 과학기술정보통신부와 한국인터넷진흥원(KISA)은 보호나라 홈페이지를 통해 PHP 제품 보안 업데이트 권고를 안내하고 있다.개인정보위는 DB의 대량 조회·반출 등 비정상 접근 여부를 점검하고, 이상 행위 탐지·차단 체계와 접속기록 관리도 강화하라고 주문했다. 외주 개발·운영 시스템이나 수탁업체, 호스팅 환경에서 PHP 소프트웨어를 쓰는지 확인하는 등 관리 사각지대도 살펴야 한다고 덧붙였다.양청삼 개인정보위 사무처장은 "이번 취약점은 홈페이지 자체 침해에 그치지 않고 연결된 DB에 저장된 다수 이용자의 개인정보 유출 등 대규모 피해로 이어질 우려가 있다"며 "보안 업데이트와 함께 의심스러운 접속 점검 등 관리 체계를 강화해야 한다"고 말했다./최효경 기자([email protected]) 포토뉴스