PHPএর ভয়াবহ নিরাপত্তা ত্রুটি: বিশ্বজুড়ে হ্যাকিংয়ের চেষ্টা, ঝুঁকিতে ওয়েবসাইট ও তথ্যভান্ডার

বিশ্বজুড়ে ওয়েবসাইট ও অনলাইন সেবার নিরাপত্তা নিয়ে নতুন উদ্বেগ তৈরি হয়েছে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপির (PHP) দুটি গুরুতর দুর্বলতা প্রকাশের পর। নিরাপত্তা ত্রুটিগুলো কাজে লাগিয়ে দুর্বৃত্তরা ব্যবহারকারীর অনুমতি বা লগইন ছাড়াই ঝুঁকিপূর্ণ সার্ভারে ক্ষতিকর কোড চালানোর সুযোগ পেতে পারে। ত্রুটিগুলো প্রকাশের পরপরই বিশ্বজুড়ে হ্যাকিংয়ের চেষ্টা দ্রুত বেড়েছে বলে জানিয়েছে প্রযুক্তি ও ক্লাউড সেবা প্রতিষ্ঠানগুলো।

২১ অক্টোবর ২০২৬ পিএইচপি প্রকল্পের রক্ষণাবেক্ষণকারীরা ত্রুটিগুলোর সমাধানে জরুরি নিরাপত্তা আপডেট প্রকাশ করেন। CVE-2026-109618 এবং CVE-2026-109619 নম্বরে চিহ্নিত দুর্বলতা দুটি ‘PHP2Shell’ নামে পরিচিতি পেয়েছে। প্রতিটি ত্রুটির নিরাপত্তা ঝুঁকির স্কোর ১০-এর মধ্যে ৯ দশমিক ২, যা অত্যন্ত গুরুতর হিসেবে বিবেচিত।

প্রকাশের পর দ্রুত বেড়েছে সাইবার হামলার চেষ্টা

রয়টার্সের প্রতিবেদন অনুযায়ী, নিরাপত্তা ত্রুটিগুলোর বিস্তারিত প্রকাশের পর সেগুলো কাজে লাগানোর চেষ্টা দ্রুত বাড়তে থাকে। ক্লাউডফ্লেয়ার জানিয়েছে, প্রকাশের আগের ১০ ঘণ্টায় তাদের নেটওয়ার্কে এ ধরনের হাজারো প্রচেষ্টা দেখা গিয়েছিল। প্রকাশের ৪৫ মিনিটের মধ্যে তা কয়েক দশ হাজারে পৌঁছায়, দুই ঘণ্টার মধ্যে বেড়ে কয়েক লাখ হয় এবং পরে সংখ্যাটি মিলিয়ন পর্যায়ে পৌঁছে যায়।

এদিকে, বিভিন্ন দেশের প্রতিষ্ঠান ও সরকারি সংস্থা নিজেদের সিস্টেম সুরক্ষিত করতে জরুরি পদক্ষেপ নেয়। সতর্কতামূলক ব্যবস্থা হিসেবে জাপানের কিছু আর্থিক প্রতিষ্ঠান, পরিবহনসংশ্লিষ্ট সংস্থা ও সরকারি দপ্তর অনলাইন সেবার অংশবিশেষ সাময়িকভাবে বন্ধ রাখে। ফ্রান্সের টেলিযোগাযোগ প্রতিষ্ঠান অরেঞ্জও কয়েকটি পিএইচপি-নির্ভর ওয়েবসাইট ও অ্যাপ্লিকেশনে প্রবেশ সীমিত করে।

ফিনল্যান্ডেও সরকারি অনলাইন সেবায় সাময়িক বিধিনিষেধ আরোপ করা হয়েছিল। তবে এসব সেবা বন্ধের ঘটনাকে সরাসরি সফল সাইবার হামলার প্রমাণ হিসেবে দেখা যাচ্ছে না। সংশ্লিষ্ট কর্তৃপক্ষের কিছু বক্তব্য অনুযায়ী, সিস্টেমের নিরাপত্তা নিশ্চিত করতেই আগাম সতর্কতামূলক ব্যবস্থা নেওয়া হয়েছিল।

কীভাবে কাজ করে এই নিরাপত্তা ত্রুটি?

পিএইচপি মূলত ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশনের পেছনে কাজ করা একটি সার্ভার-সাইড প্রোগ্রামিং ভাষা। অনলাইন দোকান, কনটেন্ট ম্যানেজমেন্ট সিস্টেম, প্রশাসনিক পোর্টালসহ বিভিন্ন ধরনের ডিজিটাল সেবা পরিচালনায় এটি ব্যবহৃত হয়।

প্রথম দুর্বলতাটি পিএইচপির মেমোরি ব্যবস্থাপনায় ত্রুটির সঙ্গে সম্পর্কিত। নির্দিষ্ট পরিস্থিতিতে সার্ভারের মেমোরি ব্যবহারে সমস্যা তৈরি হলে অসম্পূর্ণভাবে প্রস্তুত করা অভ্যন্তরীণ তথ্য ভুলভাবে পরিচালিত হতে পারে। দ্বিতীয় ত্রুটিটি এমন অভ্যন্তরীণ তথ্যের সঙ্গে সম্পর্কিত, যার জন্য ব্যবহৃত মেমোরি মুক্ত করে দেওয়ার পরও পুরোনো অবস্থা থেকে যেতে পারে।

সঠিক পরিস্থিতিতে এসব দুর্বলতা কাজে লাগিয়ে আক্রমণকারী সার্ভারে নিজের নির্দেশনা চালানোর সুযোগ পেতে পারে। বিশেষ উদ্বেগের বিষয় হলো, কোনো কোনো পরিবেশে এ ধরনের আক্রমণের জন্য ওয়েবসাইটের সাধারণ লগইন ব্যবস্থায় প্রবেশ করার প্রয়োজন হয় না।

কী কী ক্ষতি হতে পারে?

দুর্বলতাগুলো সফলভাবে কাজে লাগানো গেলে আক্রমণকারী সার্ভারের অনুমতিসীমার মধ্যে থাকা সংবেদনশীল তথ্য পড়তে, ওয়েবসাইটের ফাইল পরিবর্তন করতে কিংবা অনলাইন সেবা ব্যাহত করতে পারে। পরিস্থিতি ও সার্ভারের অনুমতির ওপর নির্ভর করে গ্রাহকের তথ্য, ডেটাবেইস, পাসওয়ার্ড, প্রবেশাধিকার টোকেন এবং অন্যান্য গোপন তথ্য ঝুঁকিতে পড়তে পারে।

সার্ভারের নিয়ন্ত্রণ পেলে দুর্বৃত্তরা পরবর্তী সময়ে ক্ষতিকর সফটওয়্যার স্থাপন, ওয়েবসাইট বিকৃত করা, তথ্য চুরি কিংবা একই নেটওয়ার্কের অন্য সিস্টেমে প্রবেশের চেষ্টা করতে পারে। সরকারি পোর্টাল, ই-কমার্স প্রতিষ্ঠান, আর্থিক সেবা, হোস্টিং কোম্পানি এবং গুরুত্বপূর্ণ অনলাইন অবকাঠামোর ক্ষেত্রে এর প্রভাব বিশেষভাবে গুরুতর হতে পারে।

তবে এসব সম্ভাব্য ক্ষতির সবগুলো ইতিমধ্যে ঘটেছে—এমন সিদ্ধান্তে পৌঁছানোর মতো প্রমাণ নেই। হ্যাকিংয়ের চেষ্টা বৃদ্ধি পাওয়া এবং কোনো সার্ভার সফলভাবে আক্রান্ত হওয়া দুটি আলাদা বিষয়।

বাংলাদেশেও সতর্কতা জারি

বাংলাদেশের সরকারি সাইবার নিরাপত্তা সংস্থা বিজিডি ই-গভর্নমেন্ট সিআইআরটি (BGD e-GOV CIRT) ২২ অক্টোবর পিএইচপির ত্রুটি দুটি নিয়ে সতর্কতা প্রকাশ করেছে। সংস্থাটি ঝুঁকিপূর্ণ সার্ভার ও ওয়েব অ্যাপ্লিকেশন শনাক্ত করে দ্রুত নিরাপত্তা আপডেট প্রয়োগের ওপর গুরুত্ব দিয়েছে।

এ সতর্কতার অর্থ এই নয় যে বাংলাদেশের কোনো নির্দিষ্ট সরকারি বা বেসরকারি ওয়েবসাইট আক্রান্ত হয়েছে। বরং পিএইচপি ব্যবহারকারী প্রতিষ্ঠানগুলোকে নিজেদের প্রযুক্তিগত ব্যবস্থা পরীক্ষা করে সম্ভাব্য ঝুঁকি কমানোর আহ্বান জানানো হয়েছে।

সমাধান কী?

পিএইচপি কর্তৃপক্ষ ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ এবং ৮.২.৩৫ সংস্করণে ত্রুটি দুটির সমাধান প্রকাশ করেছে। যেসব প্রতিষ্ঠান পুরোনো সংস্করণ ব্যবহার করছে, তাদের সমর্থিত ও সংশোধিত সংস্করণে হালনাগাদ করার পরামর্শ দেওয়া হয়েছে। পুরোনো, আনুষ্ঠানিকভাবে অসমর্থিত সংস্করণের ক্ষেত্রে সংশ্লিষ্ট সফটওয়্যার সরবরাহকারীর নিরাপত্তা প্যাচ পাওয়া যাচ্ছে কি না, তা যাচাই করাও জরুরি।

বিশেষজ্ঞদের নির্দেশনা অনুযায়ী, প্রতিষ্ঠানগুলোকে শুধু মূল ওয়েবসাইট নয়, বরং সার্ভার, হোস্টিং পরিবেশ, কনটেইনার এবং পিএইচপি-সংযুক্ত তৃতীয় পক্ষের সফটওয়্যারও পরীক্ষা করতে হবে। দ্রুত আপডেট করা সম্ভব না হলে ইন্টারনেট থেকে ঝুঁকিপূর্ণ সিস্টেমের সংযোগ সাময়িকভাবে সীমিত বা বিচ্ছিন্ন করার বিষয়টি বিবেচনা করা উচিত।

বিশ্বজুড়ে হ্যাকিংয়ের প্রচেষ্টা বেড়ে যাওয়ার এই ঘটনা আবারও দেখিয়ে দিয়েছে, একটি বহুল ব্যবহৃত সফটওয়্যারের দুর্বলতা কীভাবে বিপুলসংখ্যক অনলাইন সেবার জন্য ঝুঁকি তৈরি করতে পারে। এখন সবচেয়ে গুরুত্বপূর্ণ বিষয় হলো দ্রুত নিরাপত্তা আপডেট প্রয়োগ, সন্দেহজনক কার্যক্রম পর্যবেক্ষণ এবং কোনো সিস্টেম আক্রান্ত হয়েছে কি না, তা নির্ভরযোগ্যভাবে যাচাই করা।