PHP2Shell নিরাপত্তা ত্রুটিতে সাইবার ঝুঁকি, বাংলাদেশে জরুরি সতর্কতা

বিশ্বজুড়ে ওয়েবসাইট ও অনলাইন সেবার নিরাপত্তা নিয়ে নতুন উদ্বেগ তৈরি হয়েছে। ওয়েবসাইট পরিচালনায় বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হয়েছে, যা কাজে লাগিয়ে সাইবার হামলাকারীরা কিছু ঝুঁকিপূর্ণ সার্ভারে অনুমতি ছাড়াই ক্ষতিকর কোড চালাতে পারে। ‘PHP2Shell’ নামে পরিচিত এই ত্রুটিগুলোর বিষয়ে বাংলাদেশেও জরুরি সতর্কতা জারি করা হয়েছে বলে জানিয়েছে একাত্তর টেলিভিশন।

বৃহস্পতিবার (২২ অক্টোবর) প্রকাশিত প্রতিবেদনে বলা হয়েছে, বাংলাদেশ সরকারের সাইবার নিরাপত্তাবিষয়ক সংস্থা বিজিডি ই-গভ সার্ট সরকারি ও বেসরকারি প্রতিষ্ঠানগুলোকে নিজেদের সার্ভারে পিএইচপির ব্যবহার এবং সফটওয়্যারের সংস্করণ যাচাই করার পরামর্শ দিয়েছে।

পিএইচপি প্রকল্পের আনুষ্ঠানিক নিরাপত্তা বিজ্ঞপ্তিতেও ত্রুটিগুলো নিশ্চিত করা হয়েছে। ২১ অক্টোবর প্রকাশিত নিরাপত্তা আপডেটে বলা হয়েছে, এসব দুর্বলতা কাজে লাগিয়ে ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে কোড চালানোর ঝুঁকি তৈরি হতে পারে।

কী এই PHP2Shell নিরাপত্তা ত্রুটি?

PHP2Shell হলো পিএইচপি রানটাইমের দুটি গুরুতর নিরাপত্তা দুর্বলতার সম্মিলিত নাম। ত্রুটি দুটি হলো CVE-2026-109618 এবং CVE-2026-109619। নিরাপত্তা মূল্যায়নে উভয় ত্রুটির ঝুঁকির স্কোর ৯.২ হিসেবে উল্লেখ করা হয়েছে, যা গুরুতর পর্যায়ের মধ্যে পড়ে।

এই ত্রুটিগুলোর কারণে নির্দিষ্ট পরিস্থিতিতে সার্ভারের মেমোরি ব্যবস্থাপনায় সমস্যা তৈরি হতে পারে। আক্রমণকারী সুযোগটি কাজে লাগাতে পারলে সার্ভারে ক্ষতিকর কোড চালানো, সংবেদনশীল তথ্য হাতিয়ে নেওয়া কিংবা ওয়েবসাইটের কার্যক্রম ব্যাহত করার ঝুঁকি রয়েছে।

তবে সব ওয়েবসাইট আক্রান্ত হয়েছে, এমন নয়। ঝুঁকি নির্ভর করছে সার্ভারে ব্যবহৃত পিএইচপি সংস্করণ, সেটআপ এবং নিরাপত্তা আপডেটের অবস্থার ওপর।

কোন সার্ভার ও ওয়েবসাইট বেশি ঝুঁকিতে?

পিএইচপির নিরাপত্তা বিজ্ঞপ্তি অনুযায়ী, ওয়েব অনুরোধ প্রক্রিয়াকরণে পিএইচপি ব্যবহার করা বিভিন্ন ধরনের সার্ভার ঝুঁকিতে থাকতে পারে। এর মধ্যে রয়েছে—

• PHP-FPM: পিএইচপি অ্যাপ্লিকেশন পরিচালনার বহুল ব্যবহৃত ব্যবস্থা।
• Apache mod_php: অ্যাপাচি সার্ভারে সরাসরি পিএইচপি চালানোর ব্যবস্থা।
• PHP-CGI: ওয়েব সার্ভারের মাধ্যমে পিএইচপি স্ক্রিপ্ট চালানোর পদ্ধতি।
• FrankenPHP ও LiteSpeed: পিএইচপিভিত্তিক ওয়েব অ্যাপ্লিকেশন পরিবেশ।

এ ছাড়া পিএইচপি ব্যবহার করা কনটেইনার, শেয়ারড হোস্টিং এবং বিভিন্ন ওয়েব অ্যাপ্লিকেশনও যাচাই করা প্রয়োজন।

বাংলাদেশে সরকারি ও বেসরকারি ওয়েবসাইট নিয়ে উদ্বেগ

একাত্তর টেলিভিশনের প্রতিবেদন অনুযায়ী, বাংলাদেশের সরকারি সাইবার নিরাপত্তা সংস্থা বিজিডি ই-গভ সার্ট প্রতিষ্ঠানগুলোকে তাদের নেটওয়ার্ক ও সার্ভারে কোথায় পিএইচপি ব্যবহৃত হচ্ছে, তার তালিকা তৈরি করতে বলেছে। পাশাপাশি ব্যবহৃত সংস্করণগুলো ঝুঁকিপূর্ণ কি না, তা যাচাই করে দ্রুত ব্যবস্থা নেওয়ার পরামর্শ দেওয়া হয়েছে।

প্রতিবেদনে ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার নিরাপত্তা বিশেষজ্ঞ তানভীর হাসান জোহার বরাতে বলা হয়েছে, সরকারি ওয়েবসাইটে পিএইচপি ব্যবহারের হার আনুমানিক ৬০ থেকে ৮৫ শতাংশ হতে পারে। তবে এ পরিসংখ্যানকে স্বাধীনভাবে যাচাইকৃত সরকারি হিসাব হিসেবে বিবেচনা করা উচিত নয়।

প্রতিবেদনে আরও বলা হয়েছে, অ্যাসপায়ার টু ইনোভেট (এটুআই) পরিচালিত জাতীয় পোর্টালের ওয়েবসাইটগুলো পিএইচপিতে তৈরি নয় বলে সংশ্লিষ্ট কর্মকর্তারা জানিয়েছেন। তবে জাতীয় পোর্টালের বাইরের সরকারি দপ্তর, বিশ্ববিদ্যালয়, ব্যাংক ও বেসরকারি প্রতিষ্ঠানের নিজস্ব ওয়েবসাইটের ক্ষেত্রে পৃথকভাবে প্রযুক্তিগত যাচাই প্রয়োজন।

সমাধান কী? দ্রুত পিএইচপি আপডেট

পিএইচপি প্রকল্প আক্রান্ত সংস্করণগুলোর নিরাপত্তা ত্রুটি সংশোধন করে নতুন সংস্করণ প্রকাশ করেছে। আনুষ্ঠানিক বিজ্ঞপ্তি অনুযায়ী, সংশ্লিষ্ট শাখাগুলোর নিরাপদ সংস্করণ হলো—

নিরাপত্তা নিশ্চিত করতে সংশ্লিষ্ট শাখার সর্বশেষ সংশোধিত সংস্করণে আপডেট করার পরামর্শ দিয়েছে পিএইচপি প্রকল্প। ৮.১ ও এর আগের সংস্করণগুলো পিএইচপি প্রকল্পের নিয়মিত আনুষ্ঠানিক আপডেট পায় না; সেগুলোর ক্ষেত্রে সংশ্লিষ্ট অপারেটিং সিস্টেম বা সেবাদাতার নিরাপত্তা প্যাচ যাচাই অথবা সমর্থিত সংস্করণে উন্নীত করা প্রয়োজন।

আপডেটের পাশাপাশি সার্ভারের নিরাপত্তা পরীক্ষা জরুরি

বাংলাদেশের সাইবার নিরাপত্তাবিষয়ক সতর্কবার্তার বরাতে একাত্তরের প্রতিবেদনে বলা হয়েছে, শুধু ওয়েবসাইটের ফ্রেমওয়ার্ক, থিম বা অ্যাপ্লিকেশন আপডেট করলেই সমস্যার সমাধান হবে না। সার্ভারে চলমান মূল পিএইচপি রানটাইমও সংশোধিত সংস্করণে নিতে হবে।

যেসব প্রতিষ্ঠানের পক্ষে তাৎক্ষণিকভাবে আপডেট করা সম্ভব নয়, তাদের ঝুঁকিপূর্ণ সার্ভারের ইন্টারনেট সংযোগ সীমিত বা সাময়িকভাবে বিচ্ছিন্ন রাখার বিষয়টি বিবেচনার পরামর্শ দেওয়া হয়েছে। পাশাপাশি সার্ভার, অ্যাপ্লিকেশন ও লগ ফাইল পরীক্ষা করে সন্দেহজনক কার্যক্রম বা অননুমোদিত প্রবেশের লক্ষণ খুঁজতে হবে। আন্তর্জাতিক সাইবার নিরাপত্তা সংস্থাগুলোও দ্রুত প্যাচ প্রয়োগ এবং সম্ভাব্য অনুপ্রবেশ পরীক্ষা করার ওপর গুরুত্ব দিয়েছে।

ওয়েবসাইট বন্ধের খবর কতটা নিশ্চিত?

একাত্তরের প্রতিবেদনের শিরোনামে বিশ্বজুড়ে ওয়েবসাইট বন্ধ হওয়ার কথা বলা হলেও, এখানে যাচাই করা আন্তর্জাতিক নিরাপত্তা বিজ্ঞপ্তিগুলোতে বিশ্বব্যাপী ব্যাপক ওয়েবসাইট বন্ধ হয়ে যাওয়ার বিষয়টি নিশ্চিত করা হয়নি। নিশ্চিত তথ্য হলো, পিএইচপিতে গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হয়েছে এবং সংশোধিত সংস্করণ প্রকাশ করা হয়েছে।

তাই ওয়েবসাইট পরিচালনাকারী প্রতিষ্ঠানগুলোর জন্য আতঙ্কিত না হয়ে দ্রুত নিজস্ব সার্ভারের সংস্করণ যাচাই, নিরাপত্তা প্যাচ প্রয়োগ এবং সম্ভাব্য অনুপ্রবেশের চিহ্ন পরীক্ষা করাই সবচেয়ে জরুরি।