ওয়েবসাইট চালানোর ক্ষেত্রে সবচেয়ে বেশি ব্যবহৃত প্রোগ্রামিং ভাষাগুলোর একটি পিএইচপি। সেই পিএইচপিতে দুটি গুরুতর ত্রুটি ধরা পড়েছে। পিএইচপি২শেল নামে পরিচিত এই ত্রুটিগুলো নিয়ে ২৩ অক্টোবর নতুন করে সতর্ক করেছে যুক্তরাষ্ট্রের সিআইএসএ, লুক্সেমবার্গের তথ্য সুরক্ষা কর্তৃপক্ষ সিএনপিডি এবং কানাডার সাইবার সেন্টার। বাংলাদেশের অসংখ্য ওয়েবসাইট, বিশেষ করে শেয়ার্ড হোস্টিং ও ওয়ার্ডপ্রেস সাইট, পিএইচপিতে চলে। তাই এই সতর্কতা বাংলাদেশের সাইট মালিকদের জন্যও সরাসরি প্রাসঙ্গিক।

ত্রুটিগুলো কী

দুটি ত্রুটির নম্বর সিভিই-২০২৬-১০৯৬১৮ এবং সিভিই-২০২৬-১০৯৬১৯। দুটিই ইউজ-আফটার-ফ্রি ধরনের ত্রুটি। সহজ ভাষায়, এগুলো দিয়ে একজন আক্রমণকারী কোনো লগইন বা অনুমোদন ছাড়াই দূর থেকে ওয়েব সার্ভারে কোড চালাতে পারে। সিভিএসএস সংস্করণ ৪.০ অনুযায়ী দুটি ত্রুটিরই স্কোর ৯.২, যা গুরুতর (ক্রিটিক্যাল) পর্যায়ের।

পিএইচপির জরুরি আপডেট এসেছে ২১ অক্টোবর, ২০২৬। ঠিক করা সংস্করণগুলো হলো ৮.২.৩৫, ৮.৩.৩৬, ৮.৪.২৭ এবং ৮.৫.১২। ওয়েব অনুরোধ পরিবেশন করে এমন সব পিএইচপি সেটআপই আক্রান্ত। এর মধ্যে আছে পিএইচপি-এফপিএম, পিএইচপি-সিজিআই, ফ্রাঙ্কেনপিএইচপি, লাইটস্পিড এবং অ্যাপাচি মড_পিএইচপি। পিএইচপির নিজের মূল্যায়নে মড_পিএইচপি সবচেয়ে বেশি ঝুঁকিতে।

২৩ অক্টোবরের নতুন আপডেট কেন গুরুত্বপূর্ণ

২১ অক্টোবরের আপডেটের পরও অনেক সাইট প্যাচ করেনি। তাই ২৩ অক্টোবর সংস্থাগুলো নতুন করে তাগিদ দিয়েছে। সিআইএসএ তার সতর্কবার্তা হালনাগাদ করে সিগমা ডিটেকশন নিয়ম ও অংশীদারদের সংস্থান যোগ করেছে। লুক্সেমবার্গের সিএনপিডি ২৩ অক্টোবর নিজস্ব সতর্কবার্তা দিয়েছে। কানাডার সাইবার সেন্টারও ২৩ অক্টোবর তাদের সতর্কবার্তা হালনাগাদ করেছে।

এখনো পর্যন্ত সিআইএসএর হিসাবে ব্যাপকভাবে সফল আক্রমণের ঘটনা দেখা যায়নি। তবে নিরাপত্তা প্রতিষ্ঠানগুলো জানিয়েছে, ধারণা প্রমাণের (প্রুফ-অব-কনসেপ্ট) কোড এবং প্রাথমিক আক্রমণের চেষ্টা দেখা গেছে। অর্থাৎ আক্রমণকারীরা ত্রুটিটি পরীক্ষা করছে। প্যাচ না করলে ঝুঁকি বাড়তেই থাকবে।

সাইট মালিকদের কী করা উচিত

প্রথম কাজ হলো পিএইচপি সংস্করণ পরীক্ষা করা। যদি সংস্করণ ৮.২, ৮.৩, ৮.৪ বা ৮.৫ হয়, তাহলে ঠিক করা সংস্করণে আপডেট করতে হবে। হোস্টিং কোম্পানির কন্ট্রোল প্যানেল থেকে বা সার্ভার অ্যাডমিনের মাধ্যমে এটি করা যায়। আপডেটের আগে ব্যাকআপ নেওয়া ভালো অভ্যাস।

ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল (ডব্লিউএএফ) শুধু সাময়িক সুরক্ষা দিতে পারে। এটি মূল সমাধান নয়। প্যাচ করাই আসল সমাধান। পুরনো পিএইচপি, যেমন ৮.১ বা তার আগের সংস্করণ, এর জন্য কোনো আনুষ্ঠানিক প্যাচ নেই। সিআইএসএর পরামর্শ অনুযায়ী, ইন্টারনেটে উন্মুক্ত এমন পুরনো সিস্টেম আপগ্রেড না হওয়া পর্যন্ত অফলাইনে নেওয়া উচিত অথবা আলাদা করে রাখা উচিত।

বাংলাদেশের ছোট ব্যবসা, সংবাদপত্র, শিক্ষাপ্রতিষ্ঠান এবং ব্যক্তিগত ব্লগের অনেক সাইট শেয়ার্ড হোস্টিংয়ে চলে। এসব ক্ষেত্রে হোস্টিং কোম্পানির ওপর নির্ভর করতে হয়। সাইট মালিকদের উচিত হোস্টিং কোম্পানিকে জিজ্ঞেস করা, পিএইচপি আপডেট করা হয়েছে কি না। নিজের সাইটের পিএইচপি সংস্করণ জানা থাকলে ঝুঁকি বোঝা সহজ হয়।

সতর্কতা

এই প্রতিবেদনে কোনো আক্রমণের পদ্ধতি বিস্তারিতভাবে দেওয়া হয়নি। উদ্দেশ্য শুধু সতর্ক করা। প্যাচ করার আগে ব্যাকআপ নিন। আপডেটের পর সাইট ঠিকমতো চলছে কি না, তা পরীক্ষা করুন। কোনো প্লাগইন বা থিম পুরনো পিএইচপির ওপর নির্ভরশীল হলে আপডেটের পর তা পরীক্ষা করা জরুরি।

আরও পড়ুন: আসছে রিয়েলমি সি০১, ফাঁস হলো স্পেসিফিকেশন, ওয়েস্ট ইন্ডিজের বিপক্ষে টেস্ট দল ঘোষণা, ফিরলেন তাসকিন