世界中のウェブサイトで広く使用されているプログラミング言語PHPに致命的なセキュリティ脆弱性が2件公開され、政府は緊急対応に乗り出した。国家安保室は民・官・軍の対応状況を点検し、科学技術情報通信部は民間分野のサイバー危機警報を『関心』から『注意』に引き上げた。
22日、国家安保室は宋基浩安保室第3次長の主宰で民・官・軍のサイバーセキュリティ緊急対策会議を開催した。科学技術情報通信部、国防部、国家情報院の局長級関係者が出席し、部門別のPHP使用状況とセキュリティ対策状況を点検した。出席機関は対応状況をリアルタイムで共有することにした。
宋次長は「今回の脆弱性は認証なしでサーバーを掌握でき、すでに海外では攻撃の試みが報告されている」と述べ、「どれだけ早く対策を講じるかが被害の規模を左右する。民・官・軍が一丸となって迅速に対応を完了してほしい」と語った。
PHPはホームページやオンラインショッピングモール、掲示板などを作成するために使用される。国内で多く使用されているWordPressやグヌボードなどもPHPを基盤に動作している。
今回の脆弱性は攻撃者が別途のログインや認証なしにサーバーで悪意のある命令を実行できるため、顧客情報の漏洩やホームページの改ざん・麻痺などにつながる恐れがある。
セキュリティ業界ではPHPの脆弱性がホームページの改ざんを超えて内部システムの侵害につながる可能性に注目している。PHPはウェブサービス開発に広く使用される技術であるため、脆弱なシステムが外部に露出しており、内部サーバーやデータベースと接続されている場合、被害範囲が拡大する可能性があるという説明である。
これに対し、科学技術情報通信部と韓国インターネット振興院（KISA）は同日正午から民間分野のサイバー危機を『関心』から『注意』に引き上げた。侵害対応要員を増員し、緊急出動チームを常時待機させるなど、緊急対応体制も稼働した。
科学技術情報通信部は企業・機関にPHPの使用状況とバージョンを確認し、セキュリティアップデートを即時適用するよう要請した。アップデート後にはウェブサービスを再起動し、公式アップデートが提供されていないPHP 8.1以下のバージョンはサポートされている上位バージョンに移行するようにした。即時対応が難しい場合は外部接続の遮断やサービスの一時中断も検討するよう求めた。
個人情報保護委員会も個人情報漏洩を防ぐためにDB管理ツールのインターネット直接アクセスを制限し、ウェブサービスアカウントのDBアクセス権限を最小限にするよう要請した。個人情報の大量照会・搬出などの異常アクセスの有無を点検し、外注・受託業者のシステムにおけるPHPの使用状況と対策状況も確認するようにした。
さらに政府はアップデートを完了したサーバーも異常接続やリモート操作ファイルであるウェブシェルのインストールの有無など侵害の痕跡を点検し、被害が疑われる場合は即時KISAに通報するよう求めた。
専門家はAIの脆弱性検出能力が向上しているため、セキュリティ対応も迅速に行うべきだと提言している。
金明珠ソウル女子大学情報保護学科教授（AI安全研究所所長）は「PHPは多くのウェブサイトで共通に使用されており、脆弱性一つが広範な被害につながる可能性がある」と述べ、「攻撃者もAIを活用できるため、セキュリティパッチの開発からウェブサイトへの適用まで迅速に行う必要がある」と語った。
続けて「今回の事態は終わりではなく始まりである」とし、「AIが従来は明らかでなかった脆弱性を見つけ出す状況に備える必要がある」と強調した。
* この記事はAIによって翻訳されました。
亜洲日報の記事等を無断で複製、公衆送信 、翻案、配布することは禁じられています。
