ওয়েবসাইট তৈরি ও পরিচালনায় বহুল ব্যবহৃত প্রোগ্রামিং ল্যাঙ্গুয়েজ পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি ধরা পড়েছে। এসব ত্রুটির সুযোগ নিয়ে ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে সাইবার হামলাকারীরা। এর পরিপ্রেক্ষিতে সাইবার হামলার ঝুঁকি এড়াতে বিশ্বজুড়ে বিভিন্ন সরকারি সংস্থা ও বাণিজ্যিক প্রতিষ্ঠান তাদের ওয়েবসাইট সাময়িকভাবে বন্ধ রেখেছে। ‘পিএইচপি২শেল’ (PHP2Shell) নামের পরিচিত এ ঝুঁকি নিয়ে বাংলাদেশেও সতর্কতা জারি করেছে সরকারের সাইবার নিরাপত্তা-সংশ্লিষ্ট বিষয় দেখভালের দায়িত্বে থাকা বিজিডি ই-গভ সার্ট। তারা বলেছে, সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে প্রথমে তাদের সার্ভারে কোথায় কোথায় পিএইচপি ব্যবহৃত হচ্ছে, তার তালিকা তৈরি করতে হবে। এরপর ব্যবহৃত সংস্করণগুলো ত্রুটির কারণে ঝুঁকিতে রয়েছে কি না, তা যাচাই করতে হবে।

বৃহস্পতিবার (২২ অক্টোবর) প্রকাশিত এক নিরাপত্তা বিজ্ঞপ্তিতে এ সতর্কতা জানানো হয়। এতে সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯ নম্বরের দুটি নিরাপত্তা ত্রুটির কথা উল্লেখ করা হয়েছে। ত্রুটি দুটি কাজে লাগিয়ে আক্রমণকারীরা ঝুঁকিপূর্ণ সার্ভারে দূর থেকে কোড চালাতে পারে। এতে সার্ভারের নিয়ন্ত্রণ নেওয়া, তথ্য চুরি কিংবা ওয়েবসাইটের কার্যক্রম ব্যাহত হওয়ার আশঙ্কা রয়েছে।

ঝুঁকিতে যেসব সার্ভার

বিজিডি ই-গভ সার্টের বিজ্ঞপ্তিতে বলা হয়েছে, পিএইচপি-এফপিএম, মড-পিএইচপি ব্যবহারকারী অ্যাপাচি, পিএইচপি-সিজিআই, ফ্রাঙ্কেনপিএইচপি ও লাইটস্পিডভিত্তিক সার্ভার এ ঝুঁকির মুখে থাকতে পারে। এ ছাড়া কনটেইনার, শেয়ারড হোস্টিং ও পিএইচপি দিয়ে তৈরি বিভিন্ন ওয়েব অ্যাপ্লিকেশনও পরীক্ষা করে দেখার পরামর্শ দেওয়া হয়েছে।

পিএইচপি ওয়েবসাইটের বিভিন্ন কার্যক্রম পরিচালনায় ব্যবহৃত একটি প্রোগ্রামিং প্রযুক্তি। সরকারি ওয়েব পোর্টাল, অনলাইন সেবা, প্রশাসনিক ব্যবস্থা ও ই-কমার্স প্ল্যাটফর্মের মতো অনেক ব্যবস্থায় এ প্রযুক্তি ব্যবহৃত হয়। ফলে কোনো সার্ভারে ত্রুটি থাকলে সংশ্লিষ্ট ওয়েবসাইটের তথ্য ও কার্যক্রমের নিরাপত্তা বিঘ্নিত হতে পারে।

সাইবার নিরাপত্তা বিশেষজ্ঞদের বিভিন্ন আন্তর্জাতিক সতর্কবার্তায়ও ত্রুটি দুটির গুরুতর ঝুঁকির কথা উঠে এসেছে। যুক্তরাজ্যের ন্যাশনাল হেলথ সার্ভিসের ডিজিটাল নিরাপত্তা বিভাগ জানিয়েছে, ত্রুটি দুটি কাজে লাগিয়ে পরিচয় যাচাই ছাড়াই দূর থেকে কোড চালানো বা সংবেদনশীল তথ্য পাওয়ার সুযোগ তৈরি হতে পারে। তাদের মূল্যায়নে ভবিষ্যতে এই ত্রুটির অপব্যবহারের আশঙ্কাকে উচ্চ হিসেবে বিবেচনা করা হয়েছে।

বাংলাদেশের সরকারি ওয়েবসাইট নিয়ে উদ্বেগ

বাংলাদেশে সরকারি ওয়েবসাইট তৈরি ও তত্ত্বাবধানের সঙ্গে যুক্ত অ্যাসপায়ার টু ইনোভেট (এটুআই) প্রকল্পের কর্মকর্তারা জানিয়েছেন, তাঁদের পরিচালিত ন্যাশনাল পোর্টাল ব্যবস্থার ওয়েবসাইটগুলো পিএইচপি দিয়ে তৈরি নয়। ফলে পিএইচপির এই নিরাপত্তা ত্রুটির কারণে ওই ওয়েবসাইটগুলো সরাসরি ঝুঁকিতে পড়ার কথা নয়। তবে ন্যাশনাল পোর্টাল ব্যবস্থার বাইরে বিভিন্ন সরকারি প্রতিষ্ঠান বা দপ্তরের ওয়েবসাইট রয়েছে, যেগুলো পিএইচপি দিয়ে তৈরি হতে পারে। সে ক্ষেত্রে ওই ওয়েবসাইটগুলোর ঝুঁকি রয়েছে বলে মনে করেন সংশ্লিষ্টরা। এ ছাড়া বাংলাদেশে বেসরকারি খাতে ওয়েবসাইট ও বিভিন্ন ওয়েবভিত্তিক অ্যাপ্লিকেশন তৈরিতে পিএইচপি প্রযুক্তি ব্যবহৃত হয়। ফলে নিরাপত্তা ত্রুটির প্রভাব সরকারি ন্যাশনাল পোর্টাল ব্যবস্থার বাইরে থাকা বিভিন্ন প্রতিষ্ঠান ও অনলাইন সেবায় পড়তে পারে বলে শঙ্কা প্রকাশ করেছেন বিশেষজ্ঞরা।

বাংলাদেশে কতটি সরকারি ওয়েবসাইট বা সার্ভারে পিএইচপি ব্যবহৃত হয়, তার নির্দিষ্ট কোনো হিসাব পাওয়া যায়নি। তবে পিএইচপির বৈশ্বিক ব্যবহার ও সরকারি অনলাইন সেবায় এ প্রযুক্তির ব্যাপক ব্যবহারের বিষয়টি বিবেচনায় নিয়ে ঝুঁকিপূর্ণ সার্ভার দ্রুত শনাক্ত করার প্রয়োজনীয়তা তুলে ধরেছেন সাইবার নিরাপত্তা বিশেষজ্ঞ তানভীর হাসান জোহা।

ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিক বিভাগের সহযোগী অধ্যাপক তানভীর হাসান জোহা জানান, বাংলাদেশের সরকারি ওয়েবসাইটের মধ্যে পিএইচপি ব্যবহারকারী সাইটের হার ৬০ থেকে ৮৫ শতাংশ হতে পারে বলে তাঁর ধারণা। তবে এটি যাচাই করা পরিসংখ্যান নয়। তিনি সরকারি সার্ভারগুলোর পিএইচপি সংস্করণের তালিকা তৈরির ওপর গুরুত্ব দিয়েছেন। বিশেষ করে, ইন্টারনেটে সরাসরি উন্মুক্ত সার্ভারগুলো আগে শনাক্ত করে সেগুলোর নিরাপত্তা নিশ্চিত করার পরামর্শ দিয়েছেন তিনি।

তানভীর হাসান জোহা বলেন, সংশ্লিষ্ট সার্ভারগুলোকে দ্রুত নিরাপত্তা সমাধানযুক্ত পিএইচপি সংস্করণে হালনাগাদ করতে হবে। যেসব সার্ভারে দ্রুত হালনাগাদ সম্ভব নয়, সেগুলোর ক্ষেত্রে সাময়িকভাবে ফায়ারওয়াল ব্যবহার করে প্রবেশ নিয়ন্ত্রণ ও প্রয়োজনে ইন্টারনেট থেকে বিচ্ছিন্ন রাখার ব্যবস্থা বিবেচনা করতে হবে। পাশাপাশি সাম্প্রতিক কয়েক দিনের সার্ভার লগ পরীক্ষা করে অস্বাভাবিক অনুরোধ বা সন্দেহজনক কার্যক্রম খুঁজে দেখাও জরুরি।

তানভীর হাসান বিজিডি ই-গভ সার্টের পক্ষ থেকে সময়সীমা নির্ধারণ করে সমন্বিত নির্দেশনা দেওয়ার প্রস্তাব দিয়েছেন। তাঁর মতে, সাইবার নিরাপত্তা নিশ্চিত করতে আইন ও নীতিমালার পাশাপাশি প্রযুক্তিগত অবকাঠামো হালনাগাদ রাখা এবং দ্রুত সাড়া দেওয়ার সক্ষমতা গড়ে তোলা প্রয়োজন।

দ্রুত হালনাগাদের পরামর্শ

নিরাপত্তা ত্রুটি সমাধানে সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে দ্রুত পিএইচপি রানটাইম হালনাগাদ করার পরামর্শ দিয়েছে বিজিডি ই-গভ সার্ট। তাদের বিজ্ঞপ্তিতে বলা হয়েছে, অ্যাপ্লিকেশন বা ফ্রেমওয়ার্ক হালনাগাদ করলেই এর পেছনে ব্যবহৃত পিএইচপি রানটাইম হালনাগাদ হয় না। তাই সার্ভারে ওয়েব অনুরোধ পরিচালনাকারী প্রকৃত পিএইচপি সংস্করণে নিরাপত্তা সমাধান যুক্ত হয়েছে কি না, তা নিশ্চিত করতে হবে।

হালনাগাদের আগপর্যন্ত কনফিগারেশন পরিবর্তন ও নেটওয়ার্কে প্রবেশ সীমিত করে ঝুঁকি কমানো সম্ভব হলেও এসব ব্যবস্থা স্থায়ী সমাধান নয়। নিরাপত্তা ত্রুটি প্রকাশের আগেই কোনো সার্ভারে অনুপ্রবেশ ঘটেছে কি না, তা যাচাই করাও গুরুত্বপূর্ণ। কারণ, সফটওয়্যার হালনাগাদ করলেই আগের কোনো অনুপ্রবেশ বা ক্ষতিকর পরিবর্তন স্বয়ংক্রিয়ভাবে দূর হয়ে যায় না।