ওয়েবসাইট তৈরি ও পরিচালনায় বহুল ব্যবহৃত প্রোগ্রামিং ল্যাঙ্গুয়েজ পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হয়েছে। ‘পিএইচপি২শেল’ (PHP2Shell) নামে পরিচিত এই দুর্বলতার সুযোগ নিয়ে সাইবার হামলাকারীরা ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে। এতে সার্ভারের নিয়ন্ত্রণ দখল, গোপন তথ্য চুরি এবং ওয়েবসাইটের কার্যক্রম ব্যাহত হওয়ার আশঙ্কা তৈরি হয়েছে।
এ পরিস্থিতিতে বাংলাদেশে সরকারি ও বেসরকারি প্রতিষ্ঠানগুলোর জন্য জরুরি সতর্কতা জারি করেছে সাইবার নিরাপত্তা নিয়ে কাজ করা সরকারি সংস্থা বিজিডি ই-গভ সার্ট। প্রতিষ্ঠানগুলোকে তাদের নেটওয়ার্ক ও সার্ভারে পিএইচপির ব্যবহার শনাক্ত করে ঝুঁকিপূর্ণ সংস্করণ পরীক্ষা এবং প্রয়োজনীয় নিরাপত্তাব্যবস্থা নেওয়ার পরামর্শ দেওয়া হয়েছে।
বিজিডি ই-গভ সার্টের প্রকাশিত নিরাপত্তা বিজ্ঞপ্তিতে ‘সিভিই-২০২৬-১০৯৬১৮’ ও ‘সিভিই-২০২৬-১০৯৬১৯’ নম্বরের দুটি নিরাপত্তা ত্রুটির কথা উল্লেখ করা হয়েছে। বিজ্ঞপ্তি অনুযায়ী, পিএইচপি-এফপিএম, মড-পিএইচপি ব্যবহারকারী অ্যাপাচি, পিএইচপি-সিজিআই, ফ্রাঙ্কেনপিএইচপি এবং লাইটস্পিডভিত্তিক সার্ভারগুলো বিশেষভাবে ঝুঁকির মুখে থাকতে পারে। পাশাপাশি কনটেইনার, শেয়ারড হোস্টিং এবং পিএইচপি দিয়ে তৈরি বাণিজ্যিক ওয়েবসাইটের নিরাপত্তা যাচাইয়ের তাগিদ দেওয়া হয়েছে।
সংস্থাটির নির্দেশনা অনুযায়ী, প্রথমেই প্রতিষ্ঠানের নেটওয়ার্ক ও সার্ভারের কোথায় পিএইচপি ব্যবহৃত হচ্ছে, তার পূর্ণাঙ্গ তালিকা তৈরি করতে হবে। এরপর ব্যবহৃত সংস্করণগুলো নিরাপত্তাঝুঁকিতে রয়েছে কি না, তা যাচাই করে প্রয়োজনীয় হালনাগাদ নিশ্চিত করতে হবে।
আন্তর্জাতিক সাইবার নিরাপত্তা বিশেষজ্ঞদের মধ্যেও এই দুর্বলতা নিয়ে উদ্বেগ তৈরি হয়েছে। যুক্তরাজ্যের ন্যাশনাল হেলথ সার্ভিসের (এনএইচএস) ডিজিটাল নিরাপত্তা বিভাগ জানিয়েছে, এ ধরনের নিরাপত্তা ত্রুটির সুযোগ নিয়ে পরিচয় যাচাই ছাড়াই ক্ষতিকর কমান্ড চালানো এবং সংবেদনশীল তথ্য হাতিয়ে নেওয়া সম্ভব হতে পারে। এ দুর্বলতাকে কাজে লাগিয়ে বড় ধরনের সাইবার হামলার আশঙ্কাও রয়েছে।
বাংলাদেশে সরকারি ওয়েবসাইটের নিরাপত্তা নিয়েও প্রশ্ন উঠেছে। তবে অ্যাসপায়ার টু ইনোভেট (এটুআই) প্রকল্পের দায়িত্বশীল কর্মকর্তারা জানিয়েছেন, তাদের পরিচালিত ন্যাশনাল পোর্টালের সরকারি ওয়েবসাইটগুলো পিএইচপি দিয়ে তৈরি নয়। তাই সেগুলো সরাসরি এই নির্দিষ্ট দুর্বলতার ঝুঁকিতে নেই বলে তাদের দাবি।
তবে ন্যাশনাল পোর্টালের বাইরে বিভিন্ন সরকারি দফতর, বিশ্ববিদ্যালয় ও স্বায়ত্তশাসিত প্রতিষ্ঠানের নিজস্ব ওয়েবসাইট পিএইচপিনির্ভর হলে সেগুলো ঝুঁকিতে পড়তে পারে। বেসরকারি প্রতিষ্ঠান, ব্যাংক ও ই-কমার্স প্ল্যাটফর্মেও পিএইচপির ব্যাপক ব্যবহার থাকায় সেসব প্রতিষ্ঠানের নিরাপত্তা যাচাই জরুরি হয়ে উঠেছে।
ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিক বিভাগের সহযোগী অধ্যাপক ও প্রযুক্তি বিশেষজ্ঞ তানভীর হাসান জোহা জানান, বাংলাদেশের সরকারি ওয়েবসাইটের মধ্যে আনুমানিক ৬০ থেকে ৮৫ শতাংশে পিএইচপি ব্যবহৃত হতে পারে। সরকারি তথ্যব্যবস্থার নিরাপত্তা নিশ্চিত করতে ইন্টারনেটের সঙ্গে সরাসরি যুক্ত সার্ভারগুলো দ্রুত শনাক্ত করে সেগুলোতে পিএইচপির নিরাপদ সংস্করণ হালনাগাদ করা প্রয়োজন।
যেসব সার্ভারে তাৎক্ষণিকভাবে হালনাগাদ করা সম্ভব নয়, সেগুলোর ক্ষেত্রে ফায়ারওয়ালের মাধ্যমে প্রবেশাধিকার সীমিত করা অথবা সাময়িকভাবে ইন্টারনেট সংযোগ বিচ্ছিন্ন রাখার পরামর্শ দিয়েছেন এই বিশেষজ্ঞ। একই সঙ্গে সাম্প্রতিক কয়েক দিনের সার্ভার লগ পরীক্ষা করে কোনো অস্বাভাবিক প্রবেশ বা অনুপ্রবেশের ঘটনা ঘটেছে কি না, তা খতিয়ে দেখা জরুরি বলে মনে করেন তিনি। এ জন্য বিজিডি ই-গভ সার্টের পক্ষ থেকে নির্দিষ্ট সময়সীমা উল্লেখ করে জাতীয় পর্যায়ে কঠোর নির্দেশনা দেওয়ার প্রস্তাবও দিয়েছেন তিনি।
বিজিডি ই-গভ সার্ট সতর্ক করেছে, শুধু ওয়েবসাইটের অ্যাপ্লিকেশন বা ফ্রেমওয়ার্ক হালনাগাদ করলেই এই দুর্বলতার সমাধান হবে না। সার্ভারে ব্যবহৃত মূল পিএইচপি রানটাইম পরিবেশও নিরাপদ সংস্করণে হালনাগাদ করতে হবে।
এ ছাড়া সফটওয়্যার হালনাগাদ করলেই আগের কোনো অননুমোদিত প্রবেশ বা ক্ষতিকর পরিবর্তনের চিহ্ন মুছে যায় না। তাই সন্দেহজনক সার্ভার ও ডিজিটাল অবকাঠামোতে ফরেনসিক পরীক্ষা চালিয়ে সম্ভাব্য অনুপ্রবেশ শনাক্ত করার ওপর গুরুত্ব দিয়েছে সংস্থাটি।
সাইবার নিরাপত্তা বিশেষজ্ঞদের মতে, দ্রুত দুর্বলতা শনাক্ত করা, প্রয়োজনীয় নিরাপত্তা হালনাগাদ করা এবং সার্ভারের কার্যক্রম নিবিড়ভাবে পর্যবেক্ষণ করাই সম্ভাব্য ক্ষতি এড়ানোর গুরুত্বপূর্ণ পদক্ষেপ। সরকারি-বেসরকারি সব প্রতিষ্ঠানের ক্ষেত্রেই এ সতর্কতা জরুরি।