পিএইচপিতে গুরুতর নিরাপত্তা ত্রুটি, বাংলাদেশেও সাইবার হামলার ঝুঁকি

ওয়েবসাইট ও অনলাইন সেবা পরিচালনায় বহুল ব্যবহৃত প্রোগ্রামিং প্রযুক্তি পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হয়েছে। এসব ত্রুটি কাজে লাগিয়ে সাইবার হামলাকারীরা পরিচয় যাচাই ছাড়াই দূর থেকে ঝুঁকিপূর্ণ সার্ভারে ক্ষতিকর কোড চালাতে পারে। এতে তথ্য চুরি, সার্ভারের নিয়ন্ত্রণ নেওয়া এবং ওয়েবসাইটের কার্যক্রম ব্যাহত হওয়ার আশঙ্কা রয়েছে। আন্তর্জাতিক সাইবার নিরাপত্তা সংস্থাগুলো এ বিষয়ে সতর্ক করে দ্রুত নিরাপত্তা আপডেট প্রয়োগের পরামর্শ দিয়েছে। বাংলাদেশেও পিএইচপি ব্যবহারকারী সরকারি-বেসরকারি প্রতিষ্ঠানগুলোর নিরাপত্তা যাচাই জরুরি।

‘পিএইচপি২শেল’ (PHP2Shell) নামে পরিচিত এ দুর্বলতার সঙ্গে যুক্ত দুটি ত্রুটির নম্বর হলো CVE-2026-109618 ও CVE-2026-109619। পিএইচপি প্রকল্প ২১ অক্টোবর ত্রুটি দুটির সমাধানসহ নিরাপত্তা আপডেট প্রকাশ করেছে। আন্তর্জাতিক নিরাপত্তা সংস্থাগুলোর সতর্কবার্তায় ইন্টারনেটে সরাসরি উন্মুক্ত পিএইচপি সার্ভারগুলোকে অগ্রাধিকার দিয়ে হালনাগাদ করার পরামর্শ দেওয়া হয়েছে। 

নিরাপত্তা সতর্কতা অনুযায়ী, পিএইচপি-এফপিএম, অ্যাপাচির মড-পিএইচপি, পিএইচপি-সিজিআই, ফ্রাঙ্কেনপিএইচপি ও লাইটস্পিডভিত্তিক সার্ভার এ ত্রুটির কারণে ঝুঁকিতে থাকতে পারে। ঝুঁকির মাত্রা সার্ভারের কনফিগারেশন ও ব্যবহৃত সংস্করণের ওপর নির্ভর করতে পারে। পিএইচপি-ভিত্তিক অ্যাপ্লিকেশন, কনটেইনার এবং তৃতীয় পক্ষের সফটওয়্যারের মধ্যেও ঝুঁকিপূর্ণ উপাদান রয়েছে কি না, তা পরীক্ষা করা প্রয়োজন। 

পিএইচপি সরকারি ওয়েব পোর্টাল, অনলাইন সেবা, ই-কমার্স প্ল্যাটফর্ম এবং বিভিন্ন ওয়েব অ্যাপ্লিকেশন তৈরিতে ব্যবহৃত হয়। ফলে এ প্রযুক্তির দুর্বলতা সংশ্লিষ্ট সার্ভার ও অনলাইন সেবার নিরাপত্তাকে প্রভাবিত করতে পারে।

ইউরোপীয় ইউনিয়নের সাইবার নিরাপত্তা সংস্থা এনিসা (ENISA), ইউরোপীয় কমিশন এবং সংশ্লিষ্ট নিরাপত্তা সংস্থাগুলো ২১ অক্টোবর যৌথ বিবৃতিতে প্রতিষ্ঠানগুলোকে দ্রুত ব্যবস্থা নেওয়ার আহ্বান জানিয়েছে। তাদের পরামর্শ, আক্রান্ত সিস্টেম শনাক্ত করে নিরাপত্তা আপডেট প্রয়োগ করতে হবে। তাৎক্ষণিকভাবে হালনাগাদ সম্ভব না হলে ইন্টারনেটে উন্মুক্ত ঝুঁকিপূর্ণ অ্যাপ্লিকেশন সাময়িকভাবে বিচ্ছিন্ন রাখার বিষয়টি বিবেচনা করতে হবে। 

বাংলাদেশের কতটি সরকারি ওয়েবসাইট বা সার্ভারে পিএইচপি ব্যবহার করা হয়, তার নির্ভরযোগ্য পরিসংখ্যান পাওয়া যায়নি। তবে সরকারি দপ্তর, স্বায়ত্তশাসিত প্রতিষ্ঠান ও বেসরকারি খাতের বিভিন্ন অনলাইন সেবায় এ প্রযুক্তি ব্যবহৃত হয়ে থাকে। ফলে সংশ্লিষ্ট সার্ভারগুলোতে কোন সংস্করণ চলছে, তা যাচাই করা গুরুত্বপূর্ণ।

সরকারি ওয়েবসাইট তৈরির সঙ্গে যুক্ত অ্যাসপায়ার টু ইনোভেট (এটুআই) প্রকল্পের কর্মকর্তাদের বরাত দিয়ে মূল প্রতিবেদনে বলা হয়েছে, তাদের পরিচালিত ন্যাশনাল পোর্টাল ব্যবস্থার ওয়েবসাইটগুলো পিএইচপি দিয়ে তৈরি নয়। তবে এ বক্তব্য স্বাধীনভাবে যাচাই করা হয়নি। ন্যাশনাল পোর্টালের বাইরে থাকা সরকারি দপ্তর ও প্রতিষ্ঠানের ওয়েবসাইটের ক্ষেত্রে আলাদাভাবে ঝুঁকি যাচাই প্রয়োজন।

মূল প্রতিবেদনে ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিক বিভাগের সহযোগী অধ্যাপক তানভীর হাসান জোহার বরাতে বলা হয়েছে, বাংলাদেশের সরকারি ওয়েবসাইটের ৬০ থেকে ৮৫ শতাংশে পিএইচপি ব্যবহৃত হতে পারে। তবে এ সংখ্যাটি যাচাই করা পরিসংখ্যান নয়; বিশেষজ্ঞের অনুমান হিসেবে বিবেচনা করতে হবে।

বাংলাদেশে বিজিডি ই-গভ সার্টের সতর্কতা: মূল প্রতিবেদনে সংস্থাটির ২২ অক্টোবরের বিজ্ঞপ্তির কথা বলা হলেও বিজ্ঞপ্তিটির মূল কপি স্বাধীনভাবে যাচাই করা যায়নি। তাই সংস্থার সতর্কতার বিস্তারিত প্রকাশের আগে মূল বিজ্ঞপ্তির সঙ্গে মিলিয়ে নেওয়া প্রয়োজন।

পিএইচপি প্রকল্পের প্রকাশিত নিরাপত্তা আপডেটে সংশোধিত সংস্করণ হিসেবে PHP 8.5.12, 8.4.27, 8.3.36 ও 8.2.35 উল্লেখ করা হয়েছে। সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে নিজেদের ব্যবহৃত সংস্করণ ও সরবরাহকারীর নির্দেশনা অনুযায়ী উপযুক্ত নিরাপত্তা আপডেট প্রয়োগ করতে হবে। পুরোনো সংস্করণ ব্যবহারকারীদের ক্ষেত্রে সংশ্লিষ্ট সরবরাহকারীর নিরাপত্তা সমাধান বা সমর্থিত সংস্করণে উন্নীত হওয়ার নির্দেশনা যাচাই করা জরুরি। 

নিরাপত্তা বিশেষজ্ঞদের পরামর্শ অনুযায়ী, হালনাগাদের পাশাপাশি সার্ভার লগ পরীক্ষা করে সন্দেহজনক অনুরোধ, অস্বাভাবিক কার্যক্রম এবং অননুমোদিত প্রবেশের চিহ্ন খুঁজে দেখতে হবে। কারণ, সফটওয়্যার আপডেট করলেই আগে থেকে ঘটে যাওয়া অনুপ্রবেশ বা সার্ভারে স্থাপন করা ক্ষতিকর ফাইল স্বয়ংক্রিয়ভাবে মুছে যায় না। 

সাইবার নিরাপত্তা সংস্থাগুলোর মূল বার্তা হলো—ঝুঁকিপূর্ণ পিএইচপি সার্ভার দ্রুত শনাক্ত করা, নিরাপত্তা আপডেট প্রয়োগ করা এবং সম্ভাব্য অনুপ্রবেশের লক্ষণ পরীক্ষা করা।