সরকারি-বেসরকারি ওয়েবসাইটে পিএইচপি নিরাপত্তার ঝুঁকি, ফের সতর্কতা

প্রভাত রিপোর্ট: পিএইচপি নিরাপত্তা ঝুঁকি শনাক্ত হওয়ার পর আগেই সতর্ক করা হলেও এখনো যেসব সরকারি-বেসরকারি প্রতিষ্ঠান কোনো পদক্ষেপ নেয়নি, তাদের অবিলম্বে সংশোধনমূলক ব্যবস্থা নেওয়ার জরুরি তাগিদ দেওয়া হয়েছে। সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম (বিজিডি ই-গভ সিআইআরটি) রবিবার (২৫ অক্টোবর) এক জরুরি নিরাপত্তা বিজ্ঞপ্তিতে জানিয়েছে, কোনো অপ্রীতিজনক সাইবার হামলা বা নিরাপত্তা দুর্ঘটনা ঘটার জন্য অপেক্ষা না করে এখনই প্রয়োজনীয় ব্যবস্থা নিতে হবে।
গত ২২ অক্টোবর বিশ্বজুড়ে অসংখ্য ওয়েবসাইট তৈরিতে ব্যবহৃত জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপিতে গুরুতর দুটি নিরাপত্তা ত্রুটি ধরা পড়ে। এসব ত্রুটি কাজে লাগিয়ে কিছু আক্রান্ত ওয়েবসাইটের সার্ভারে কোনো পাসওয়ার্ড ছাড়াই দূর থেকে ক্ষতিকর নির্দেশনা চালানো, গোপন তথ্য হাতিয়ে নেওয়া কিংবা সার্ভারের নিয়ন্ত্রণ নেওয়া সম্ভব হতে পারে। ওই দিনই সতর্ক করেছিল বিজিডি ই-গভ সিআইআরটি।
নতুন করে জারি করা বিজিডি ই-গভ সিআইআরটির সতর্কতায় জানানো হয়, প্রতিকারমূলক পদক্ষেপ গ্রহণে যেকোনো ধরনের বিলম্ব প্রতিষ্ঠানের ডিজিটাল অবকাঠামোকে চরম ঝুঁকির মুখে ফেলতে পারে। তাই অনতিবিলম্বে এসব নিরাপত্তা ত্রুটি মেরামত করে তা নিশ্চিত করার জন্য জোরালো আহ্বান জানানো হচ্ছে। সরকারি সংস্থার পক্ষ থেকে বলা হয়েছে, দেশের সরকারি, পাবলিক ও বেসরকারি খাতের বিভিন্ন প্রতিষ্ঠানের ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশনে ব্যবহৃত ‘পিএইচপি’ সার্ভারে গুরুতর নিরাপত্তা ঝুঁকি তৈরি হয়েছে।
সেকেলে ও মেয়াদোত্তীর্ণ পিএইচপি সংস্করণ ব্যবহারের কারণে যেকোনো সময় সাইবার হামলার শিকার হতে পারে এসব ওয়েবসাইট।
বিজ্ঞপ্তিতে বলা হয়, সিআইআরটি-এর সাইবার থ্রেট ইন্টেলিজেন্স (সিটিআই) ইউনিটের নিয়মিত নজরদারিতে দেশের বেশ কিছু গুরুত্বপূর্ণ ইন্টারনেট-সংযুক্ত সিস্টেমে অরক্ষিত পিএইচপি রানটাইম শনাক্ত হয়েছে। পূর্বে একাধিকবার তাগাদা দেওয়া সত্ত্বেও অনেক প্রতিষ্ঠান তা সমাধানে এখনো কোনো কার্যকর পদক্ষেপ নেয়নি। গত ২২ অক্টোবর প্রকাশিত ‘পিএইচপিটুশেল’ নামক একটি সতর্কবার্তায় বলা হয়, বৈশ্বিক সাইবার ঝুঁকির কারণে অসাধু হ্যাকাররা বিনা অনুমতিতেই সার্ভারের নিয়ন্ত্রণ নিতে পারে। এর ফলে প্রাতিষ্ঠানিক ও ব্যবহারকারীদের সংবেদনশীল তথ্য ফাঁস, ওয়েবসাইট হ্যাক হওয়া এবং অনলাইন সেবা পুরোপুরি বন্ধ হয়ে যাওয়ার মতো বড় ধরনের বিপর্যয় ঘটতে পারে।
প্রতিষ্ঠানের ব্যবহৃত সব সার্ভার, অ্যাপ্লিকেশন ও হোস্টিংয়ের পিএইচপি ভার্সন দ্রুত পরীক্ষা করা; ঝুঁকিপূর্ণ ভার্সন থাকলে দ্রুততম সময়ে অফিশিয়াল সিকিউরিটি প্যাচ বা আপডেট ভার্সনে উন্নীত করা; মেয়াদোত্তীর্ণ বা সাপোর্ট বন্ধ হয়ে যাওয়া পিএইচপি দ্রুত বদলে নতুন ভার্সনে মাইগ্রেট করা; অবিলম্বে প্যাচ করা সম্ভব না হলে ভিপিএন ব্যবহার বা অপ্রয়োজনীয় পাবলিক অ্যাক্সেস সাময়িকভাবে বন্ধ রাখা এবং সন্দেহজনক রিকোয়েস্ট, অননুমোদিত ফাইল পরিবর্তন বা অস্বাভাবিক আউটবাউন্ড ট্রাফিক পরীক্ষা করা।
সিআইআরটি আরও জানিয়েছে, থার্ড-পার্টি বা প্রোভাইডারের মাধ্যমে পরিচালিত সার্ভারের নিরাপত্তার দায়িত্বও মূল প্রতিষ্ঠানের ওপরই বর্তায়। কোনো অপ্রীতিজনক সাইবার দুর্ঘটনা ঘটার আগেই সংশ্লিষ্ট সব সরকারি-বেসরকারি প্রতিষ্ঠানকে জরুরি ভিত্তিতে এসব প্রতিরক্ষামূলক কারিগরি ও প্রশাসনিক পদক্ষেপ নেয়ার আকুল আহ্বান জানানো হয়েছে।