[서울=뉴시스]윤정민 기자 = 웹사이트 개발·운영에 쓰이는 'PHP' 보안 취약점이 이용자 개인정보 유출로 번질 수 있어 정부가 긴급 점검을 당부했다. 웹 서버 보안 패치와 함께 연결된 데이터베이스(DB)의 접근 권한과 대량 조회·반출 기록까지 살펴야 한다고 말했다.

개인정보보호위원회는 공공기관과 민간 기업 등 개인정보처리자에게 PHP 취약점에 대응하기 위한 보호조치를 신속히 이행해달라고 22일 밝혔다.

전날 공개된 'PHP2Shell'은 공격자가 로그인이나 인증을 거치지 않고 웹 서버에서 임의의 악성 명령을 실행할 수 있는 취약점이다. 공격이 웹 서버 침해에 그치지 않고 연계된 DB에 저장된 개인정보에 접근하는 데 악용될 수 있다는 게 개인정보위의 설명이다.

특히 PHP 기반 DB 관리 도구인 'phpMyAdmin' 등이 인터넷에 노출돼 있거나 웹 서비스 계정에 필요 이상의 DB 접근권한이 부여돼 있으면 대량의 개인정보가 위험에 처할 수 있다고 경고했다.

개인정보위는 우선 사용 중인 PHP 버전을 확인해 최신 보안 패치를 적용하고 불필요한 웹 서비스를 삭제하도록 권고했다.

phpMyAdmin 등 DB 관리 도구는 인터넷에서 직접 접근하지 못하도록 제한하고 최신 버전으로 업데이트해야 한다. 불필요한 설정 파일을 정리하고 웹 서비스 계정이 개인정보 DB에 접근할 수 있는 권한도 업무에 필요한 최소한으로 줄여야 한다.

개인정보가 한꺼번에 조회되거나 외부로 반출되는 등 비정상적인 접근이 있었는지도 확인하도록 했다. 이상 행위를 탐지·차단하는 체계와 접속 기록 관리를 강화하라는 취지다.

자체 운영 시스템뿐 아니라 외주 개발·운영 시스템, 수탁 업체, 호스팅 환경에서 PHP를 사용하는지도 확인해 필요한 조치를 취하도록 당부했다.

과학기술정보통신부도 이날 낮 12시를 기해 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 한 단계 높였다. PHP 취약점을 악용한 대규모 해킹에 대비해 침해대응 인력을 늘리고 비상출동조를 상시 대기시키는 등 비상대응 체계를 가동한다.

과기정통부와 한국인터넷진흥원(KISA)은 보안 업데이트 후 웹서비스를 반드시 재시작하고 이미 침해된 흔적이 있는지도 점검하도록 당부했다.

즉시 업데이트하기 어렵다면 웹방화벽 차단 규칙과 임시 보안 설정을 적용하고 이마저 어려운 경우 외부 접속 차단이나 서비스 일시 중단을 검토하도록 권고했다.

양청삼 개인정보위 사무처장은 "이번 취약점은 홈페이지 자체의 침해에 그치지 않고 이와 연결된 데이터베이스에 저장된 다수 이용자의 개인정보가 유출되는 등 대규모 피해로 이어질 우려가 있다"고 말했다.


◎공감언론 뉴시스 alpaca@newsis.com