ওয়েবসাইট তৈরি ও পরিচালনায় বহুল ব্যবহৃত প্রোগ্রামিং ল্যাঙ্গুয়েজ পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি ধরা পড়েছে। এসব ত্রুটির সুযোগ নিয়ে ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে সাইবার হামলাকারীরা। এর পরিপ্রেক্ষিতে সাইবার হামলার ঝুঁকি এড়াতে বিশ্বজুড়ে বিভিন্ন সরকারি সংস্থা ও বাণিজ্যিক প্রতিষ্ঠান তাদের ওয়েবসাইট সাময়িকভাবে বন্ধ রেখেছে। ‘পিএইচপি২শেল’ (PHP2Shell)
নামে পরিচিত এ ঝুঁকি নিয়ে বাংলাদেশেও সতর্কতা জারি করেছে সরকারের সাইবার নিরাপত্তাসংশ্লিষ্ট বিষয় দেখভালের দায়িত্বে থাকা বিজিডি ই-গভ সার্ট। তারা বলেছে, সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে প্রথমে তাদের সার্ভারে কোথায় কোথায় পিএইচপি ব্যবহৃত হচ্ছে, তার তালিকা তৈরি করতে হবে। এরপর ব্যবহৃত সংস্করণগুলো ত্রুটির কারণে ঝুঁকিতে রয়েছে কিনা তা যাচাই করতে হবে।
গতকাল প্রকাশিত এক নিরাপত্তা বিজ্ঞপ্তিতে এ সতর্কতা জানানো হয়। এতে সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯ নম্বরের দুটি নিরাপত্তাত্রুটির কথা উল্লেখ করা হয়েছে। ত্রুটি দুটি কাজে লাগিয়ে আক্রমণকারীরা ঝুঁকিপূর্ণ সার্ভারে দূর থেকে কোড চালাতে পারে। এতে সার্ভারের নিয়ন্ত্রণ নেওয়া, তথ্য চুরি কিংবা ওয়েবসাইটের কার্যক্রম ব্যাহত হওয়ার আশঙ্কা রয়েছে।
বিজিডি ই-গভ সার্টের বিজ্ঞপ্তিতে বলা হয়েছে, পিএইচপি-এফপিএম, মড-পিএইচপি ব্যবহারকারী অ্যাপাচি, পিএইচপি-সিজিআই, ফ্রাঙ্কেনপিএইচপি ও লাইটস্পিডভিত্তিক সার্ভার এ ঝুঁকির মুখে থাকতে পারে। এ ছাড়া কনটেইনার, শেয়ারড হোস্টিং এবং পিএইচপি দিয়ে তৈরি বিভিন্ন ওয়েব অ্যাপ্লিকেশনও পরীক্ষা করে দেখার পরামর্শ দেওয়া হয়েছে।
সাইবার নিরাপত্তা বিশেষজ্ঞদের বিভিন্ন আন্তর্জাতিক সতর্কবার্তাতেও ত্রুটি দুটির গুরুতর ঝুঁকির কথা উঠে এসেছে। যুক্তরাজ্যের ন্যাশনাল হেলথ সার্ভিসের ডিজিটাল নিরাপত্তা বিভাগ জানিয়েছে, ত্রুটি দুটি কাজে লাগিয়ে পরিচয় যাচাই ছাড়াই দূর থেকে কোড চালানো বা সংবেদনশীল তথ্য পাওয়ার সুযোগ তৈরি হতে পারে। তাদের মূল্যায়নে ভবিষ্যতে এ ত্রুটির অপব্যবহারের আশঙ্কাকে উচ্চ হিসেবে বিবেচনা করা হয়েছে।
বাংলাদেশে সরকারি ওয়েবসাইট তৈরি ও তত্ত্বাবধানের সঙ্গে যুক্ত অ্যাসপায়ার টু ইনোভেট (এটুআই) প্রকল্পের কর্মকর্তারা জানিয়েছেন, তাদের পরিচালিত ন্যাশনাল পোর্টাল ব্যবস্থার ওয়েবসাইটগুলো পিএইচপি দিয়ে তৈরি নয়। ফলে পিএইচপির এই নিরাপত্তা ত্রুটির কারণে ওই ওয়েবসাইটগুলো সরাসরি ঝুঁকিতে পড়ার কথা নয়। তবে ন্যাশনাল পোর্টাল ব্যবস্থার বাইরে বিভিন্ন সরকারি প্রতিষ্ঠান বা দপ্তরের ওয়েবসাইট রয়েছে, যেগুলো পিএইচপি দিয়ে তৈরি হতে পারে। সে ক্ষেত্রে ওই ওয়েবসাইটগুলোর ঝুঁকি রয়েছে বলে মনে করেন সংশ্লিষ্টরা।
ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিক বিভাগের সহযোগী অধ্যাপক তানভীর হাসান জোহা বলেন, সংশ্লিষ্ট সার্ভারগুলোকে দ্রুত নিরাপত্তা সমাধান যুক্ত পিএইচপি সংস্করণে হালনাগাদ করতে হবে। যেসব সার্ভারে দ্রুত হালনাগাদ সম্ভব নয়, সেগুলোর ক্ষেত্রে সাময়িকভাবে ফায়ারওয়াল ব্যবহার করে প্রবেশ নিয়ন্ত্রণ এবং প্রয়োজনে ইন্টারনেট থেকে বিচ্ছিন্ন রাখার ব্যবস্থা বিবেচনা করতে হবে। পাশাপাশি সাম্প্রতিক কয়েক দিনের সার্ভার লগ পরীক্ষা করে অস্বাভাবিক অনুরোধ বা সন্দেহজনক কার্যক্রম খুঁজে দেখাও জরুরি।
নিরাপত্তাত্রুটি সমাধানে সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে দ্রুত পিএইচপি রানটাইম হালনাগাদ করার পরামর্শ দিয়েছে বিজিডি ই-গভ সার্ট। তাদের বিজ্ঞপ্তিতে বলা হয়েছে, অ্যাপ্লিকেশন বা ফ্রেমওয়ার্ক হালনাগাদ করলেই এর পেছনে ব্যবহৃত পিএইচপি রানটাইম হালনাগাদ হয় না। তাই সার্ভারে ওয়েব অনুরোধ পরিচালনাকারী প্রকৃত পিএইচপি সংস্করণে নিরাপত্তা সমাধান যুক্ত হয়েছে কিনা তা নিশ্চিত করতে হবে।
নিরাপত্তা ঝুঁকিতে বাংলাদেশ ব্যাংকের ওয়েবসাইট ডাউন
জরুরি নিরাপত্তাজনিত সমস্যার কারণে সাইবার হামলার ঝুঁকি এড়াতে বাংলাদেশ ব্যাংকের অফিশিয়াল ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছে। গতকাল বাংলাদেশ ব্যাংকের মুখপাত্র আরিফ হোসেন খান বিষয়টি নিশ্চিত করেছেন।
গতকাল সন্ধ্যার আগে কেন্দ্রীয় ব্যাংকের ওয়েবসাইটে প্রবেশের চেষ্টা করলে ঞযব ঝবৎারপব রং ঁহফবৎ গধরহঃবহধহপব লেখা একটি বার্তা দেখা যায়। ওই বার্তায় বলা হয়েছে, নির্ধারিত রক্ষণাবেক্ষণ কার্যক্রমের কারণে সেবাটি সাময়িকভাবে বন্ধ রয়েছে। তবে শিগগিরই সেবা আবারও চালু করা হবে বলে উল্লেখ করা হয়।
প্রসঙ্গত, সাইবার হামলার আশঙ্কায় সম্প্রতি বিশ্বজুড়ে একের পর এক ওয়েবসাইট বন্ধ রাখা হচ্ছে।
ইন্টারনেটের বড় একটি অংশে ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হওয়ার পর থেকে এমন সতর্কতামূলক পদক্ষেপ নেওয়া হচ্ছে। বিবিসি জানিয়েছে, এসব ত্রুটি কাজে লাগিয়ে হ্যাকাররা দূর থেকে সিস্টেমে প্রবেশ করে ক্ষতিকর কোড চালাতে পারে বলে সতর্ক করেছেন সাইবার নিরাপত্তা বিশেষজ্ঞরা।