বিশ্বজুড়ে ওয়েবসাইট তৈরিতে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে ‘পিএইচপি২শেল’ নামে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হয়েছে। এসব ত্রুটি কাজে লাগিয়ে হ্যাকাররা পরিচয় যাচাই ছাড়াই সার্ভারে ক্ষতিকর কোড চালানো, গোপন তথ্য চুরি ও ওয়েবসাইট অচল করে দিতে পারে।
এ ঘটনায় বাংলাদেশে জরুরি সতর্কতা জারি করেছে সাইবার নিরাপত্তা সংস্থা বিজিডি ই-গভ সার্ট। সংস্থাটি সরকারি-বেসরকারি প্রতিষ্ঠানকে পিএইচপি ব্যবহৃত সার্ভার শনাক্ত, ঝুঁকিপূর্ণ সংস্করণ হালনাগাদ এবং নিরাপত্তা যাচাইয়ের পরামর্শ দিয়েছে।
বিশেষজ্ঞদের মতে, সরকারি দপ্তর, বিশ্ববিদ্যালয়, ব্যাংক ও ই-কমার্স প্ল্যাটফর্ম ঝুঁকিতে থাকতে পারে। তাৎক্ষণিক হালনাগাদ সম্ভব না হলে সার্ভারের সংযোগ সীমিত রাখা এবং লগ পরীক্ষা করে অনুপ্রবেশের চিহ্ন খুঁজতে হবে। শুধু ওয়েবসাইটের অ্যাপ্লিকেশন নয়, সার্ভারের মূল পিএইচপি রানটাইমও হালনাগাদ ও ফরেনসিক পরীক্ষা করা জরুরি।
সার্টের পরামর্শ অনুযায়ী, সমস্যাটি পিএইচপি’র মেমোরি ব্যবস্থাপনায়। মেমোরি শেষ হয়ে গেলে বা মেমোরি মুক্ত হওয়ার পরও পুরোনো রিকোয়েস্টের ডেটা থেকে যাওয়ার সুযোগে আক্রমণকারী বিশেষভাবে তৈরি এইচটিটিপি রিকোয়েস্ট পাঠিয়ে সার্ভারের নিয়ন্ত্রণ নিয়ে নিতে পারে।
এতে সবচেয়ে বেশি ঝুঁকিতে রয়েছে পিএইচপি-এফপিএম এবং অ্যাপাচির মড_পিএইচপি ব্যবহারকারীরা। এছাড়া পিএইচপি-সিজিআই, ফ্র্যাঙ্কেনপিএইচপি, লাইটস্পিড, ডকার কন্টেইনার এবং শেয়ার্ড হোস্টিংয়ে চলা সরকারি পোর্টাল, ব্যাংক, ই-কমার্স, ওয়ার্ডপ্রেস ও লারাভেল ভিত্তিক সব ওয়েবসাইটই ঝুঁকির মুখে রয়েছে।
সতর্কতায় বলা হয়, সফল আক্রমণ হলে পুরো সার্ভারের দখল চলে যাওয়া, ডেটা ও ফাইল চুরি, ডাটাবেসের পাসওয়ার্ড ও এপিআই কি ফাঁস এবং ওয়েবসাইট অচল হয়ে যাওয়ার মতো বড় ক্ষতি হতে পারে।
সমাধান হিসেবে অবিলম্বে পিএইচপি হালনাগাদ করতে বলেছে সার্ট। নিরাপদ সংস্করণগুলো হলো- ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ এবং ৮.২.৩৫। শুধু ফ্রেমওয়ার্ক নয়, সার্ভারের মূল পিএইচপি রানটাইম হালনাগাদ হয়েছে কি না তা নিশ্চিত করতে বলা হয়েছে।
সতর্কবার্তায় বলা হয়, যারা এখনই প্যাচ দিতে পারবেন না, তাদের জন্য সাময়িকভাবে সার্ভার ভিপিএন এর পেছনে রাখা, আইপিভিত্তিক অনুমোদন তালিকা করা এবং লগ পর্যবেক্ষণ বাড়ানোর পরামর্শ দেওয়া হয়েছে। তবে সার্ট স্পষ্ট জানিয়েছে, হালনাগাদ করাই একমাত্র স্থায়ী সমাধান।
এসএন/