PHP 보안 취약점, 최신 패치가 먼저

PHP 보안 취약점이 웹서버와 연결된 데이터베이스의 개인정보 유출로 이어질 수 있어 공공기관과 민간기업 등 개인정보처리자의 신속한 보호조치가 요구된다. 개인정보보호위원회는 최신 보안패치 적용부터 데이터베이스 관리도구 접근 제한, 비정상적인 개인정보 조회 여부 확인까지 단계별 조치를 당부했다.

PHP2Shell 취약점의 위험

2026년 10월 21일 발표된 ‘PHP2Shell’은 공격자가 별도의 로그인이나 인증 절차를 거치지 않고 웹서버에서 임의의 악성 명령을 실행할 수 있는 취약점이다. 과학기술정보통신부와 한국인터넷진흥원은 해당 취약점에 대한 조치 방안을 안내했다.

PHP는 웹서비스 개발과 운영에 폭넓게 쓰이는 소프트웨어다. 이번 취약점이 악용되면 피해가 홈페이지나 웹서버 침해에 그치지 않고, 연계된 데이터베이스에 저장된 이용자 개인정보의 유출로 번질 우려가 있다.

웹서버와 개인정보 데이터베이스가 연결돼 있다면 홈페이지 침해가 대규모 개인정보 피해의 출발점이 될 수 있다는 점이 핵심이다.

phpMyAdmin 외부 노출 주의

특히 PHP 기반 데이터베이스 관리도구인 phpMyAdmin 등이 인터넷 외부에 노출된 경우 각별한 주의가 필요하다. 웹서비스 계정에 필요 이상의 데이터베이스 접근권한이 부여돼 있어도 공격자가 이를 악용해 다량의 개인정보에 접근할 위험이 커진다.

개인정보처리자는 phpMyAdmin을 비롯한 데이터베이스 관리도구에 인터넷으로 직접 접근하지 못하도록 제한해야 한다. 사용 중인 phpMyAdmin의 버전을 확인해 업데이트하고, 운영에 필요하지 않은 설정파일도 정리해야 한다.

최신 보안패치 적용

가장 먼저 PHP를 사용하는 시스템이 있는지 확인하고 설치된 버전을 살펴야 한다. 취약한 버전이라면 최신 보안패치를 신속하게 적용해야 하며, 현재 사용하지 않는 웹서비스는 삭제해 공격에 노출될 가능성을 줄여야 한다.

1. PHP 사용 시스템과 설치 버전을 확인한다.
2. 최신 보안패치를 적용한다.
3. 운영에 불필요한 웹서비스를 삭제한다.
4. phpMyAdmin 등 데이터베이스 관리도구의 인터넷 직접 접근을 제한한다.
5. 관리도구를 최신 버전으로 업데이트하고 불필요한 설정파일을 정리한다.
6. 웹서비스 계정의 개인정보 데이터베이스 접근권한을 필요한 범위로 최소화한다.

개인정보 조회 기록 확인

보안 업데이트만으로 점검이 끝나는 것은 아니다. 개인정보 데이터베이스에서 대량 조회나 대량 반출이 발생했는지 확인하고, 평소와 다른 비정상적인 접근 흔적이 있는지도 살펴야 한다.

개인정보처리자는 이상 행위를 탐지하고 차단하는 체계를 점검하는 동시에 접속기록 관리를 강화해야 한다. 이미 의심스러운 접근이 있었는지 확인하려면 개인정보 조회와 반출 기록을 함께 살피는 과정이 중요하다.

외주와 호스팅 환경도 점검

기관이나 기업이 직접 관리하는 시스템만 확인해서는 충분하지 않다. 외부 업체가 개발하거나 운영하는 시스템, 개인정보 처리업무를 맡은 수탁업체의 시스템, 호스팅 환경에서 PHP 소프트웨어를 사용하고 있는지도 확인해야 한다.

해당 환경에서 PHP가 사용되고 있다면 동일하게 버전과 패치 적용 여부, 데이터베이스 관리도구의 외부 노출 여부, 계정별 접근권한과 접속기록을 살펴 필요한 조치를 해야 한다.

개인정보 보호조치 핵심

개인정보위는 이번 취약점이 홈페이지 침해를 넘어 데이터베이스에 저장된 다수 이용자의 개인정보 유출로 이어질 가능성을 경고했다. 이에 따라 보안 업데이트와 의심스러운 접속 점검을 함께 실시하고, 국민의 개인정보가 유출되지 않도록 관리 체계를 세밀하게 운영할 것을 강조했다.