বিশ্বের অন্যতম জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপিতে ‘পিএইচপি২শেল’ নামে পরিচিত দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হয়েছে। এসব ত্রুটি কাজে লাগিয়ে হ্যাকাররা ব্যবহারকারীর নাম ও পাসওয়ার্ড ছাড়াই দূর থেকে সার্ভারের নিয়ন্ত্রণ নিতে পারে। এ পরিস্থিতিতে সরকারি-বেসরকারি ওয়েবসাইটের নিরাপত্তা নিশ্চিত করতে উচ্চ সতর্কতা জারি করেছে বাংলাদেশ সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম (বিজিডি ই-গভ সার্ট)।

বৃহস্পতিবার (২২ অক্টোবর) জারি করা সতর্কবার্তায় সংস্থাটি জানায়, নিরাপত্তা ত্রুটি দুটির সিভিই আইডি হলো সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯। ঝুঁকির মাত্রা নির্ধারণের সিভিএসএস স্কোর ৯.২, যা গুরুতর নিরাপত্তাঝুঁকি নির্দেশ করে।

সার্টের সতর্কবার্তা অনুযায়ী, ত্রুটি দুটি মূলত পিএইচপির মেমোরি ব্যবস্থাপনার সঙ্গে সম্পর্কিত। সার্ভারের মেমোরি শেষ হয়ে যাওয়া কিংবা মেমোরি খালি করার পরও পুরোনো রিকোয়েস্টের তথ্য থেকে যাওয়ার সুযোগ তৈরি হলে হ্যাকাররা বিশেষভাবে তৈরি এইচটিটিপি রিকোয়েস্ট পাঠিয়ে সার্ভারে ক্ষতিকর কোড চালাতে পারে।

এতে সবচেয়ে বেশি ঝুঁকিতে রয়েছে পিএইচপি-এফপিএম এবং অ্যাপাচির ‘মড_পিএইচপি’ ব্যবহারকারী সার্ভারগুলো। এ ছাড়া পিএইচপি-সিজিআই, ফ্র্যাঙ্কেনপিএইচপি, লাইটস্পিড, ডকার কন্টেইনার ও শেয়ার্ড হোস্টিংয়ে পরিচালিত ওয়েবসাইটও ঝুঁকিতে থাকতে পারে। এর মধ্যে রয়েছে সরকারি পোর্টাল, ব্যাংক, ই-কমার্স প্ল্যাটফর্ম এবং ওয়ার্ডপ্রেস ও লারাভেলভিত্তিক ওয়েবসাইট।

সতর্কবার্তায় বলা হয়, সফল সাইবার হামলার ফলে সার্ভারের সম্পূর্ণ নিয়ন্ত্রণ হ্যাকারদের হাতে চলে যেতে পারে। এ ছাড়া তথ্য ও ফাইল চুরি, ডেটাবেইসের পাসওয়ার্ড এবং এপিআই কি ফাঁস হওয়া, এমনকি ওয়েবসাইট অচল হয়ে যাওয়ার আশঙ্কা রয়েছে।

দ্রুত পিএইচপি হালনাগাদের নির্দেশ

নিরাপত্তাঝুঁকি মোকাবেলায় অবিলম্বে পিএইচপি হালনাগাদ করার পরামর্শ দিয়েছে সার্ট। সংস্থাটির উল্লেখ করা নিরাপদ সংস্করণগুলো হলো ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ ও ৮.২.৩৫। শুধু ওয়েবসাইটের ফ্রেমওয়ার্ক হালনাগাদ করলেই হবে না; সার্ভারে ব্যবহৃত মূল পিএইচপি রানটাইমও নিরাপদ সংস্করণে হালনাগাদ হয়েছে কি না, তা নিশ্চিত করতে বলা হয়েছে।

যেসব প্রতিষ্ঠান তাৎক্ষণিকভাবে নিরাপত্তা প্যাচ প্রয়োগ করতে পারবে না, তাদের সাময়িক ব্যবস্থা হিসেবে সার্ভার ভিপিএনের আড়ালে রাখা, আইপি ঠিকানাভিত্তিক প্রবেশাধিকার সীমিত করা এবং সার্ভারের লগ নিয়মিত পর্যবেক্ষণের পরামর্শ দেওয়া হয়েছে।

তবে সার্টের সতর্কবার্তা অনুযায়ী, নিরাপত্তা প্যাচ প্রয়োগ ও পিএইচপির নিরাপদ সংস্করণে হালনাগাদ করাই এ ঝুঁকি মোকাবেলার স্থায়ী সমাধান।