韩国个人信息保护委员会表示，针对近期公开的PHP安全漏洞“PHP2Shell”，已要求公共机构、企业等个人信息处理者加强防护，防止个人信息泄露。
该漏洞于10月21日披露。委员会指出，攻击者可在无需登录认证的情况下，在Web服务器上执行任意恶意命令。
委员会表示，PHP被广泛用于网站开发和运营，一旦相关漏洞被利用，不仅服务器可能遭到入侵，存放于相关数据库中的用户个人信息也可能外泄。尤其是在phpMyAdmin等基于PHP的数据库管理工具对外开放、或数据库权限配置过高的情况下，攻击者可能进一步接触大量个人信息，风险不容忽视。
为此，委员会要求相关机构首先核查使用PHP的系统版本，并尽快安装最新安全补丁，同时关闭不必要的Web服务。
在数据库管理环节，委员会要求限制phpMyAdmin等工具的互联网直连访问，检查并更新软件版本，清理不必要的配置文件；同时按照最小权限原则，收紧Web服务账户对个人信息数据库的访问权限。
此外，委员会还建议重点排查个人信息数据库是否存在大规模查询、批量导出等异常访问迹象，并检查外包开发、运维系统、受托企业及托管环境中是否仍在使用存在风险的PHP软件，发现问题后应立即处置。
韩国个人信息保护委员会事务处长Yang Cheong-sam表示，此次漏洞风险不仅在于网站可能被攻破，还可能波及与其相连的数据库，导致大量用户个人信息泄露并引发大规模损失。在完成安全更新的同时，相关机构还应加强对可疑访问的监测和管理，避免国民个人信息外泄。
记者信息
Chi-gyu Hwang
delight@d-today.co.kr