개인정보보호위원회가 'PHP2Shell' 보안 취약점으로 대규모 개인정보 유출이 발생할 수 있다며 공공기관과 민간기업에 긴급 보호조치를 당부했다고 22일 밝혔다.
지난 21일 공개된 PHP2Shell은 별도 인증 없이 웹서버에서 악성 명령을 실행할 수 있는 취약점이다. 웹서버뿐 아니라 연결된 데이터베이스(DB)에 저장된 개인정보까지 유출될 위험이 있다.
특히 PHP 기반 DB 관리도구인 'phpMyAdmin'이 외부에 노출되거나 과도한 접근권한이 부여된 경우 대량의 개인정보 유출로 이어질 수 있다.
PHP는 웹 개발에 사용되는 서버 측 오픈소스 스크립트 언어다. phpMyAdmin은 웹 브라우저를 통해 MySQL·MariaDB 데이터베이스를 관리하는 소프트웨어다.
개인정보위는 PHP 최신 보안패치 적용과 불필요한 웹서비스 삭제를 권고했다. DB 관리도구의 외부 접근을 제한하고 개인정보 DB 접근권한도 최소화하도록 했다.
아울러 개인정보 대량조회·반출 등 비정상적인 접속을 점검하고 이상 행위 탐지·차단과 접속기록 관리를 강화할 것을 주문했다. 외주 개발·운영 시스템과 수탁업체, 호스팅 환경의 PHP 사용 여부도 점검 대상에 포함했다.
양청삼 개인정보위 사무처장은 “홈페이지 자체의 침해에 그치지 않고, 이와 연결된 데이터베이스에 저장된 다수 이용자의 개인정보가 유출되는 등 대규모 피해로 이어질 우려가 있다”며 보안 업데이트와 접속기록 점검 등 관리 강화를 당부했다.
박진형 기자 jin@etnews.com
