個人情報保護委員会（個人情報委）は、PHPのセキュリティ脆弱性を悪用した個人情報漏洩を防ぐため、公的機関や民間企業などの個人情報処理者に対し、セキュリティ対策の強化を呼びかけた。
個人情報委は、ウェブサービスを運営する機関や企業に対し、PHPの脆弱性に関するセキュリティアップデートやデータベース（DB）アクセス制御などの保護措置を迅速に実施するよう、22日に発表した。
PHP2Shellは、攻撃者が別途ログインや認証手続きを行うことなく、ウェブサーバー上で任意の悪意のある命令を実行できる脆弱性である。科学技術情報通信部と韓国インターネット振興院（KISA）は、この脆弱性に対する対応策を案内した。
PHPは、ウェブサービスの開発と運営に広く使用されているソフトウェアである。脆弱性が悪用されると、ウェブサーバーの侵害にとどまらず、連携されたDBに保存された利用者の個人情報が漏洩する可能性がある。
特に、PHPベースのDB管理ツールであるphpMyAdminなどが外部に露出している場合や、DBアクセス権限が過度に付与されている場合、攻撃者がこれを悪用して大量の個人情報にアクセスするリスクがある。
個人情報委は、まずPHPを使用しているシステムのバージョンを確認し、最新のセキュリティパッチを適用する必要があると強調した。使用していないウェブサービスは削除し、phpMyAdminなどのDB管理ツールへのインターネット直接アクセスを制限するほか、関連ソフトウェアを最新バージョンに更新するよう求めた。不要な設定ファイルを整理し、ウェブサービスアカウントの個人情報DBアクセス権限も最小限にするよう呼びかけた。
個人情報DBで大量の照会や反出などの異常なアクセスが発生していないかを点検し、異常行動の検出・遮断や接続記録の管理も強化する必要がある。外注開発・運営システムや委託業者、ホスティング環境で使用中のPHPソフトウェアも点検対象である。
梁青三個人情報委事務局長は、「今回の脆弱性は、ホームページ自体の侵害にとどまらず、これに接続されたデータベースに保存された多数の利用者の個人情報が漏洩するなど、大規模な被害につながる恐れがある」と述べ、「セキュリティアップデートとともに、疑わしい接続の点検など管理体制を強化し、国民の個人情報が漏洩しないよう特に注意する必要がある」と語った。
* この記事はAIによって翻訳されました。
亜洲日報の記事等を無断で複製、公衆送信 、翻案、配布することは禁じられています。
