개인정보위, PHP 보안 취약점 악용한 대규모 개인정보 유출 위험 경고

핵심 요약

개인정보보호위원회가 웹사이트 및 온라인 서비스 개발에 널리 사용되는 PHP 소프트웨어의 'PHP2Shell' 보안 취약점에 대해 공공기관과 민간기업에 긴급 보안조치를 당부했습니다. 이 취약점은 공격자가 별도의 로그인이나 인증 절차 없이 웹서버에서 악성 명령을 실행할 수 있게 하여, Initial Access(T1190)를 통해 웹서버를 침해하고 연결된 데이터베이스에 저장된 대규모 개인정보 유출로 이어질 수 있는 심각한 위험을 내포합니다. IT 감사인은 조직 내 PHP 기반 시스템의 취약점 존재 여부를 즉시 점검하고, 웹서버 및 데이터베이스에 대한 접근 통제 및 개인정보 보호 대책의 적정성을 평가하여 잠재적 침해 사고를 예방해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치조직 내 운영 중인 모든 PHP 기반 웹 서비스에 대해 최신 보안 패치를 즉시 적용하고, PHP2Shell과 같은 원격 코드 실행 취약점으로부터 웹서버를 보호하기 위한 웹 방화벽(WAF) 및 침입 방지 시스템(IPS)의 탐지 및 차단 정책을 강화할 것을 권고함.
• ✔기술적 조치PHP 설정 파일(php.ini)을 검토하여 불필요한 함수 비활성화, 에러 메시지 노출 최소화, 파일 업로드 경로 제한 등 보안 강화 설정을 적용하고, 웹서버 로그를 주기적으로 분석하여 비정상적인 접근 시도를 탐지할 수 있는 모니터링 체계를 구축할 것을 권고함.
• ✔관리적 조치PHP 기반 시스템을 포함한 모든 공개 웹 서비스에 대해 정기적인 취약점 점검 및 모의 해킹을 수행하고, 발견된 취약점에 대한 신속한 조치 프로세스를 수립 및 시행할 것을 권고함.
• ✔관리적 조치웹서버와 데이터베이스 간의 네트워크 접근 통제를 강화하고, 개인정보가 저장된 데이터베이스에 대한 접근 권한을 최소화하며, 데이터베이스 암호화 등 다중 보안 대책을 수립 및 적용해야 함을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기