পিএইচপিতে বিপজ্জনক ত্রুটি, এখনই সতর্ক না হলে বড় ক্ষতির আশঙ্কা
অনলাইন ডেস্ক
প্রকাশিত: ০১:৩৩, ২৫ অক্টোবর ২০২৬
পিএইচপি প্রোগ্রামিং ভাষার গুরুতর নিরাপত্তা ত্রুটি নিয়ে উদ্বেগ বাড়ছে বাংলাদেশে। সরকারি ও বেসরকারি প্রতিষ্ঠানের ৫০টির বেশি ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশনে পিএইচপির পুরোনো ও ঝুঁকিপূর্ণ সংস্করণ ব্যবহারের তথ্য পাওয়া গেছে। এর মধ্যে অনেক প্রতিষ্ঠান নিরাপত্তা হালনাগাদ সম্পন্ন করেছে কি না, তা নিশ্চিত করেনি। ফলে এসব ওয়েবসেবা সাইবার হামলা, তথ্য চুরি ও সার্ভারের নিয়ন্ত্রণ হারানোর ঝুঁকিতে থাকতে পারে।
রোববার (২৫ অক্টোবর) বিকেল ৪টায় প্রকাশিত এক সতর্কবার্তায় বিষয়টি জানিয়েছে সরকারের সাইবার নিরাপত্তাসংশ্লিষ্ট সংস্থা বিজিডি ই-গভ সার্ট। সংস্থাটির সাইবার থ্রেট ইন্টেলিজেন্স (সিটিআই) ইউনিটের নিয়মিত নজরদারিতে সরকারি, জনখাত ও বেসরকারি প্রতিষ্ঠানের একাধিক ইন্টারনেট-সংযুক্ত ওয়েব অ্যাপ্লিকেশনে এ ঝুঁকি শনাক্ত হয়েছে। তবে ঝুঁকিপূর্ণ সংস্করণ শনাক্ত হওয়া মানেই সংশ্লিষ্ট ওয়েবসাইটে ইতিমধ্যে হামলা হয়েছে—এমন নয়।
সার্ট জানায়, আগের সতর্কবার্তার পরও বেশ কিছু প্রতিষ্ঠান নিরাপত্তা হালনাগাদের বিষয়ে কোনো জবাব দেয়নি বা প্রয়োজনীয় ব্যবস্থা নেওয়ার বিষয়টি নিশ্চিত করেনি। এ কারণে সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে দ্রুত পিএইচপির নিরাপদ সংস্করণে উন্নীত হওয়ার নির্দেশনা দেওয়া হয়েছে।
পিএইচপির দুটি গুরুতর ত্রুটি, লগইন ছাড়াই হামলার আশঙ্কা
পিএইচপির নিরাপত্তা ত্রুটিগুলো ‘PHP2Shell’ নামে পরিচিত। পিএইচপি কর্তৃপক্ষ ২১ অক্টোবর দুটি গুরুতর ত্রুটি সংশোধনে নিরাপত্তা হালনাগাদ প্রকাশ করে। ত্রুটি দুটি হলো CVE-2026-109618 ও CVE-2026-109619।
এসব ত্রুটির সুযোগ নিয়ে নির্দিষ্ট পরিস্থিতিতে হামলাকারীরা ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে। এর ফলে ওয়েবসাইটের নিয়ন্ত্রণ দখল, গুরুত্বপূর্ণ তথ্য প্রকাশ, সার্ভার ক্ষতিগ্রস্ত করা এবং অনলাইন সেবা ব্যাহত হওয়ার আশঙ্কা রয়েছে।
পিএইচপি কর্তৃপক্ষ ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ ও ৮.২.৩৫ সংস্করণে সংশ্লিষ্ট দুটি ত্রুটির সমাধান প্রকাশ করেছে। সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে তাদের ব্যবহৃত সংস্করণ যাচাই করে নিরাপত্তা সংশোধনী প্রয়োগ করতে বলা হয়েছে।
বন্ধ ওয়েবসাইটগুলোর বেশির ভাগ সচল
নিরাপত্তাঝুঁকি এড়াতে গত বৃহস্পতিবার থেকে দেশের কয়েকটি ব্যাংক ও সরকারি প্রতিষ্ঠানের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছিল। এর মধ্যে ছিল বাংলাদেশ ব্যাংক, অগ্রণী ব্যাংক, জনতা ব্যাংক, আইএফআইসি ব্যাংক, স্ট্যান্ডার্ড ইসলামী ব্যাংক, এসবিএসি ব্যাংক ও বেঙ্গল কমার্শিয়াল ব্যাংকের ওয়েবসাইট। ডিজিটাল ভূমিসেবার ওয়েবসাইটও সাময়িকভাবে বন্ধ রাখা হয়।
রোববার প্রকাশিত সংবাদ প্রতিবেদন অনুযায়ী, নিরাপত্তা যাচাই ও প্রয়োজনীয় ব্যবস্থা নেওয়ার পর এসব প্রতিষ্ঠানের বেশির ভাগ ওয়েবসাইট আবার সচল হয়েছে। তবে বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ রাখার সিদ্ধান্তের কথা আগের দিন জানিয়েছিলেন ব্যাংকটির নির্বাহী পরিচালক আরিফ হোসেন খান। তিনি বলেছিলেন, বৈশ্বিক নিরাপত্তাঝুঁকি অব্যাহত থাকলে ওয়েবসাইট চালু করা হবে না।
বাংলাদেশ ব্যাংক জানিয়েছিল, ওয়েবসাইট বন্ধ থাকলেও ব্যাংকিং সেবা বন্ধ হয়নি। তবে ওয়েবসাইট বন্ধ থাকার কারণে গ্রাহক ও ব্যবহারকারীদের অনলাইন তথ্যপ্রাপ্তিতে সাময়িক অসুবিধা হতে পারে।
নিরাপত্তা জোরদারে সার্টের নির্দেশনা
বিজিডি ই-গভ সার্ট সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে ইন্টারনেট থেকে প্রবেশ করা যায়—এমন সব ওয়েব অ্যাপ্লিকেশন, সার্ভার, কনটেইনার ও হোস্টিং পরিবেশে পিএইচপির সংস্করণ যাচাই করতে বলেছে। ঝুঁকিপূর্ণ সংস্করণগুলো নিরাপত্তা সংশোধনীযুক্ত সংস্করণে উন্নীত করার পাশাপাশি যেসব সংস্করণে আর নিরাপত্তা হালনাগাদ দেওয়া হয় না, সেগুলো পরিবর্তন করে সমর্থিত সংস্করণ ব্যবহারের পরামর্শ দিয়েছে সংস্থাটি।
তাৎক্ষণিকভাবে হালনাগাদ করা সম্ভব না হলে সাময়িকভাবে ওয়েবসেবায় প্রবেশ সীমিত করা, ভিপিএন ব্যবহার, নির্দিষ্ট আইপি ঠিকানাকে প্রবেশের অনুমতি দেওয়া এবং অপ্রয়োজনীয় উন্মুক্ত প্রবেশাধিকার বন্ধ রাখার পরামর্শ দেওয়া হয়েছে। পাশাপাশি সার্ভারের নিরাপত্তা লগ পরীক্ষা করে সন্দেহজনক কার্যক্রম, অননুমোদিত ফাইল পরিবর্তন ও অস্বাভাবিক সংযোগ শনাক্ত করতে বলা হয়েছে।
সংস্থাটি আরও বলেছে, তৃতীয় পক্ষের মাধ্যমে ওয়েবসাইট পরিচালিত হলেও সংশ্লিষ্ট অ্যাপ্লিকেশন ও অবকাঠামোর নিরাপত্তা নিশ্চিত করার দায়িত্ব প্রতিষ্ঠানটির। সাময়িকভাবে ওয়েবসাইটে প্রবেশ সীমিত করা ঝুঁকি কমাতে পারে, তবে এটি নিরাপত্তা হালনাগাদের বিকল্প নয়।
বিশ্বজুড়েও সতর্কতা
পিএইচপি বিশ্বের বহুল ব্যবহৃত ওয়েব প্রোগ্রামিং ভাষাগুলোর একটি। অনেক সরকারি পোর্টাল, ব্যাংকিং ওয়েবসাইট, ই-কমার্স প্ল্যাটফর্ম ও অন্যান্য অনলাইন সেবা এই প্রযুক্তির ওপর নির্ভরশীল। ফলে পিএইচপির নিরাপত্তা ত্রুটি শুধু বাংলাদেশের জন্য নয়, বিশ্বজুড়েই উদ্বেগের কারণ হয়েছে।
ইউরোপীয় ইউনিয়নের সাইবার নিরাপত্তা সংস্থাসহ বিভিন্ন দেশের নিরাপত্তা সংস্থা দ্রুত নিরাপত্তা সংশোধনী প্রয়োগ, ঝুঁকিপূর্ণ সার্ভার শনাক্ত এবং সন্দেহজনক কার্যক্রম পর্যবেক্ষণের পরামর্শ দিয়েছে। নিরাপত্তা হালনাগাদ করা সম্ভব না হলে কিছু ক্ষেত্রে সাময়িকভাবে ওয়েবসাইট বন্ধ রাখার পরামর্শও দেওয়া হয়েছে।
সাইবার নিরাপত্তা বিশেষজ্ঞদের মতে, নিয়মিত সফটওয়্যার হালনাগাদ, সার্ভার পর্যবেক্ষণ ও দ্রুত নিরাপত্তা ব্যবস্থা গ্রহণের মাধ্যমে এ ধরনের ঝুঁকি কমানো সম্ভব। তাই সরকারি-বেসরকারি সব প্রতিষ্ঠানের জন্য পিএইচপির সংস্করণ যাচাই ও নিরাপত্তা সংশোধনী প্রয়োগ এখন জরুরি।
এফএইচ/বিএ/পিআর
