韓国の個人情報保護委員会は、公開されたPHPの脆弱性「PHP2Shell」について、個人情報を取り扱う公的機関や企業に対し、漏えい防止に向けた保護措置を徹底するよう求めた。

問題の脆弱性「PHP2Shell」は21日に公開された。攻撃者がログインや認証を経ずに、Webサーバー上で任意の悪意あるコマンドを実行できる恐れがあるという。

PHPはWebサービスの開発・運用で広く使われている。脆弱性が悪用された場合、被害はWebサーバーへの侵害にとどまらず、連携するDBに保存された利用者の個人情報漏えいに発展する可能性がある。

同委員会は特に、PHPベースのDB管理ツールであるphpMyAdminなどがインターネット上に公開された状態にある場合や、DBに過大なアクセス権限が付与されている場合に注意が必要だとした。攻撃者に悪用されれば、大量の個人情報に不正アクセスされるリスクがあるとしている。

対策として、PHPを利用しているシステムのバージョンを確認し、最新のセキュリティパッチを適用するよう要請した。あわせて、不要なWebサービスは削除するよう求めた。

また、phpMyAdminなどのDB管理ツールについては、インターネットからの直接アクセスを制限すること、ソフトウェアのバージョンを確認して更新すること、不要な設定ファイルなどを整理することを促した。Webサービスのアカウントに付与する個人情報DBへのアクセス権限も、最小限にとどめるよう求めている。

このほか、個人情報DBに対する大量照会や持ち出しなど、不審なアクセスの有無を点検するよう推奨した。外注で開発・運用しているシステムや受託企業、ホスティング環境でPHPソフトウェアが使われていないか確認し、必要な措置を講じることも求めている。

ヤン・チョンサム事務処長は「今回の脆弱性は、Webサイトの侵害にとどまらず、接続されたデータベースに保存された多数の利用者個人情報の漏えいなど、大規模な被害につながる恐れがある」とコメント。「セキュリティ更新に加え、不審な接続の点検など管理体制を強化し、個人情報が漏えいしないよう特に注意してほしい」と述べた。