অনলাইন ডেস্ক:
জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপিতে (PHP) দুটি অত্যন্ত বিপজ্জনক নিরাপত্তাত্রুটি বা বাগ শনাক্ত হওয়ার পর দেশজুড়ে উচ্চ সাইবার সতর্কতা জারি করেছে বাংলাদেশ সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম (বিজিডি ই-গভ সার্ট)। ‘পিএইচপি২শেল’ নামে পরিচিত এই গুরুতর খামতির সুযোগ নিয়ে কোনো আইডি বা পাসওয়ার্ড ছাড়াই হ্যাকাররা দূর থেকেই সার্ভারের পূর্ণ নিয়ন্ত্রণ নিতে পারে বলে সতর্ক করা হয়েছে।
সার্ট জানিয়েছে, শনাক্ত হওয়া ত্রুটি দুটির সিভিই আইডি হলো সিভিই-২০২৬-১০৯৬১৮ এবং সিভিই-২০২৬-১০৯৬১৯। আন্তর্জাতিক নিরাপত্তামানদণ্ডে এর সিভিএসএস (CVSS) স্কোর ধরা হয়েছে ৯.২, যা সর্বোচ্চ পর্যায়ের ঝুঁকি নির্দেশ করে। এই দুর্বলতাকে কাজে লাগিয়ে সাইবার হামলাকারীরা দূরে বসে যেকোনো ক্ষতিকর কোড চালিয়ে পুরো সিস্টেম অচল করে দেওয়ার ক্ষমতা রাখে।
সংস্থাটির কারিগরি বিশ্লেষণে উঠে এসেছে, মূলত পিএইচপির মেমোরি ব্যবস্থাপনার জটিলতার কারণেই এই সাইবার ঝুঁকির সৃষ্টি হয়েছে। সার্ভারের মেমোরি শেষ হয়ে গেলে কিংবা ডেটা খালি হওয়ার পরও পুরনো রিকোয়েস্টের তথ্য সেখানে থেকে যাওয়ার সুযোগ তৈরি হয়। এই মেমোরি ত্রুটি কাজে লাগিয়ে বিশেষ ধরনের ক্ষতিকর এইচটিটিপি (HTTP) রিকোয়েস্ট পাঠিয়ে পুরো সার্ভারের দখল নিয়ে নিচ্ছে আক্রমণকারীরা।
বিজ্ঞপ্তিতে বলা হয়, পিএইচপি-এফপিএম (PHP-FPM) এবং অ্যাপাচির মড_পিএইচপি (mod_php) ব্যবহারকারীরা এই হামলার সবচেয়ে বড় ঝুঁকিতে রয়েছেন। এছাড়া পিএইচপি-সিজিআই, ফ্র্যাঙ্কেনপিএইচপি, লাইটস্পিড, ডকার কন্টেইনার এবং শেয়ার্ড হোস্টিংয়ে পরিচালিত বিভিন্ন সরকারি গুরুত্বপূর্ণ পোর্টাল, ব্যাংকিং ব্যবস্থা, ই-কমার্স প্ল্যাটফর্ম এবং ওয়ার্ডপ্রেস ও লারাভেলভিত্তিক সমস্ত ওয়েবসাইট মারাত্মক হুমকিতে রয়েছে।
বিশেষজ্ঞরা বলছেন, আক্রমণ সফল হলে পুরো সার্ভারের একচ্ছত্র নিয়ন্ত্রণ হ্যাকারের হাতে চলে যাবে। এর ফলে সংবেদনশীল তথ্য ও ফাইল চুরি, ডাটাবেসের গোপনীয় পাসওয়ার্ড ও এপিআই কি (API key) ফাঁস হওয়া এবং পুরো ওয়েবসাইট স্থায়ী বা সাময়িকভাবে অচল হয়ে পড়ার মতো বিপর্যয় ঘটতে পারে।
জরুরি সমাধান হিসেবে অবিলম্বে পিএইচপির মূল রানটাইম সংস্করণ হালনাগাদ (Update) করার পরামর্শ দিয়েছে সার্ট। সুরক্ষার জন্য নিরাপদ সংস্করণ ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ এবং ৮.২.৩৫ ব্যবহার করার অনুরোধ জানানো হয়েছে। কেবল অ্যাপ্লিকেশন বা ফ্রেমওয়ার্ক নয়, সার্ভারের মূল পিএইচপি রানটাইম আপডেট হয়েছে কি না তা নিশ্চিত করতে জোর দেওয়া হয়েছে।
তাছাড়া যেসব প্রতিষ্ঠান এখনই সিকিউরিটি প্যাচ দিতে পারছে না, তাদের সাময়িকভাবে সার্ভারকে ভিপিএনের (VPN) মাধ্যমে সুরক্ষা দেওয়া, নির্দিষ্ট আইপি তালিকাভিত্তিক প্রবেশাধিকার নিয়ন্ত্রণ করা এবং লগ মনিটরিং বাড়ানোর কথা বলা হয়েছে। তবে সার্ট জোর দিয়ে জানিয়েছে, রানটাইম সংস্করণ হালনাগাদ করাই এই ঝুঁকির একমাত্র স্থায়ী সমাধান।
