পিএইচপি (PHP) প্রোগ্রামিং ভাষায় দুটি গুরুতর নিরাপত্তাত্রুটি শনাক্ত হওয়ার পর দেশের সরকারি-বেসরকারি ওয়েবসাইট, ব্যাংক ও অনলাইন সেবার নিরাপত্তা নিয়ে উদ্বেগ তৈরি হয়েছে। সম্ভাব্য সাইবার হামলা মোকাবিলায় উচ্চ সতর্কতা জারি করেছে বাংলাদেশ সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম (বিজিডি ই-গভ সার্ট)।
সংশ্লিষ্ট প্রতিবেদন অনুযায়ী, ‘পিএইচপি২শেল’ (PHP2Shell) নামে পরিচিত এই নিরাপত্তাত্রুটি দুটির পরিচিতি নম্বর CVE-2026-109618 ও CVE-2026-109619। এই ত্রুটিগুলো কাজে লাগিয়ে হ্যাকাররা নির্দিষ্ট পরিস্থিতিতে ব্যবহারকারীর নাম ও পাসওয়ার্ড ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালানোর (Remote Code Execution) সুযোগ পেতে পারে।
ঝুঁকিতে ব্যাংক, সরকারি পোর্টাল ও ই-কমার্স
বিজিডি ই-গভ সার্টের সতর্কবার্তায় বলা হয়েছে, পিএইচপির মেমোরি ব্যবস্থাপনার দুর্বলতার কারণে এই ঝুঁকি তৈরি হয়েছে। বিশেষভাবে তৈরি এইচটিটিপি (HTTP) রিকোয়েস্টের মাধ্যমে দুর্বল সার্ভারে ক্ষতিকর কোড চালানোর চেষ্টা হতে পারে। এর ফলে দেশের সরকারি পোর্টাল, ব্যাংকিং সেবা, ই-কমার্স, ওয়ার্ডপ্রেস ও লারাভেলভিত্তিক ওয়েবসাইটগুলো বড় ধরনের ঝুঁকির মুখে পড়তে পারে।
বিশেষ করে PHP-FPM ও অ্যাপাচির (Apache) mod_php ব্যবহারকারী সার্ভারগুলো সবচেয়ে বেশি ঝুঁকিতে রয়েছে। এ ছাড়া PHP-CGI, FrankenPHP, LiteSpeed, ডকার কনটেইনার ও শেয়ার্ড হোস্টিংয়ে পরিচালিত ওয়েবসাইটগুলোর নিরাপত্তাও জরুরি ভিত্তিতে যাচাই করার পরামর্শ দেওয়া হয়েছে।
কী ধরনের ক্ষতি হতে পারে?
শনাক্ত হওয়া এই নিরাপত্তাত্রুটি কাজে লাগিয়ে হ্যাকাররা সফল হামলা চালাতে পারলে পুরো সার্ভারের নিয়ন্ত্রণ হারানোর ঝুঁকি রয়েছে। এ ছাড়া গুরুত্বপূর্ণ ফাইল ও তথ্য চুরি, ডেটাবেজের পাসওয়ার্ড এবং এপিআই কি (API Key) ফাঁস হওয়ার আশঙ্কা রয়েছে। একই সঙ্গে সাইবার হামলার মাধ্যমে যেকোনো ওয়েবসাইট পুরোপুরি অচল করে দেওয়ার মতো ঘটনাও ঘটতে পারে।
যেসব সংস্করণে হালনাগাদের পরামর্শ
সাইবার হামলা থেকে সুরক্ষিত থাকতে বিজিডি ই-গভ সার্টের নির্দেশনায় পিএইচপির নিরাপদ সংস্করণগুলোতে দ্রুত হালনাগাদ (Update) করার পরামর্শ দেওয়া হয়েছে। নিরাপত্তা সংশোধনীযুক্ত সংস্করণগুলো হলো—
PHP 8.5.12
PHP 8.4.27
PHP 8.3.36
PHP 8.2.35
ওয়েবসাইট পরিচালনাকারী ও সিস্টেম অ্যাডমিনিস্ট্রেটরদের শুধু অ্যাপ্লিকেশন বা ফ্রেমওয়ার্ক নয়, সার্ভারে ব্যবহৃত মূল PHP Runtime-ও নিরাপদ সংস্করণে হালনাগাদ হয়েছে কি না, তা নিশ্চিত করতে বলা হয়েছে।
তাৎক্ষণিক হালনাগাদ সম্ভব না হলে করণীয়
জরুরি ভিত্তিতে কোনো প্রতিষ্ঠানের পক্ষে নিরাপত্তা হালনাগাদ বা প্যাচ ইনস্টল করা সম্ভব না হলে সাময়িকভাবে সার্ভার ভিপিএনের (VPN) আড়ালে রাখা, কেবল অনুমোদিত আইপি (IP) ঠিকানার মাধ্যমে প্রবেশ সীমিত করা এবং সার্ভারের লগ (Server Log) নিয়মিত পর্যবেক্ষণের পরামর্শ দেওয়া হয়েছে। তবে এসব ব্যবস্থা কেবল সাময়িক সুরক্ষা দিতে পারে; দীর্ঘমেয়াদি নিরাপত্তার জন্য সংশ্লিষ্ট সংস্করণগুলো হালনাগাদ করাই একমাত্র সমাধান।
