‘PHP 보안 취약점’ 난리에…개보위, 개인정보 유출 예방 조치 당부

[헤럴드경제=고재우 기자] 개인정보보호위원회(개보위)가 PHP 보안 취약점 관련해 공공기관과 기업 등에 개인정보 유출 예방 조치를 당부했다. 앞서 과학기술정보통신부(과기정통부), 한국인터넷진흥원(KISA) 등도 취약점 관련 조치 방안을 안내한 바 있다.

개보위는 전날 공개된 공격자 별도 로그인 및 인증 절차 없이 웹서버 악성 명령을 실행할 수 있는 취약점인 ‘PHP2Shell’과 관련해 공공기관과 민간기업 등 개인정보처리자에게 개인정보 유출 예방을 위한 보호조치를 당부했다고 22일 밝혔다.

PHP는 웹서비스 개발·운영에 널리 사용되는 소프트웨어다. 취약점이 악용될 경우 웹 서버 침해뿐 아니라 연계된 데이터베이스(DB)에 저장된 이용자의 개인정보 유출로 이어질 우려도 있다.

특히 PHP 기반의 DB 관리 도구인 phpMyAdmin 등이 외부에 노출돼 있거나 과도한 DB 접근권한이 부여된 경우, 공격자가 이를 악용해 대량의 개인정보에 접근할 위험이 있다.

이에 따라 개보위는 ▷취약점 긴급 조치 ▷DB 접근 통제 강화 ▷대량 유출 방지 ▷관리 사각지대 점검 등을 안내했다.

구체적으로 취약점 긴급 조치는 PHP 사용 시스템의 버전을 확인하고, 최신 보안패치를 적용하는 한편 불필요한 웹서비스 삭제를 말한다.

DB 접근 통제 강화는 phpMyAdmin 등 DB 관리 도구의 인터넷 직접 접근을 제한하고, phpMyAdmin 소프트웨어의 버전을 확인해 업데이트 및 불필요한 설정 파일 등 정리를 뜻한다. 특히 웹서비스 계정의 개인정보 DB 접근권한을 최소화할 것을 권고했다.

대량 유출 방지는 개인정보 DB의 대량 조회·반출 등 비정상 접근 여부를 점검하고, 이상 행위 탐지·차단 및 접속기록 관리를 강화하는 것 조치다. 관리 사각지대 점검은 외주 개발·운영 시스템, 수탁업체 및 호스팅 환경에서 사용 중인 PHP 소프트웨어 등은 없는지 확인하고 조치를 뜻한다.

양청삼 개보위 사무처장은 “이번 취약점은 홈페이지 자체의 침해에 그치지 않고, 이와 연결된 데이터베이스에 저장된 개인정보가 유출되는 등 대규모 피해로 이어질 우려가 있다”며 “보안 업데이트와 함께 의심스러운 접속 점검 등 관리 체계를 강화해야 한다”고 말했다.