ওয়েবসাইট তৈরি ও পরিচালনায় বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তাত্রুটি শনাক্ত হয়েছে। এসব ত্রুটির সুযোগ নিয়ে সাইবার হামলাকারীরা ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে। এতে ওয়েবসাইটের নিয়ন্ত্রণ নেওয়া, সংবেদনশীল তথ্য চুরি এবং অনলাইন সেবা ব্যাহত হওয়ার আশঙ্কা রয়েছে। এ পরিস্থিতিতে ঝুঁকি মোকাবিলায় বাংলাদেশেও সতর্কতা জারি করেছে সরকারের সাইবার নিরাপত্তাবিষয়ক সংস্থা বিজিডি ই-গভ সার্ট।
বৃহস্পতিবার (২২ অক্টোবর) প্রকাশিত এক নিরাপত্তা বিজ্ঞপ্তিতে সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯ নম্বরের ত্রুটি দুটি সম্পর্কে সতর্ক করে সংস্থাটি। সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে সার্ভারে কোথায় কোথায় পিএইচপি ব্যবহার করা হচ্ছে, তার তালিকা তৈরি করে ব্যবহৃত সংস্করণগুলো ঝুঁকিপূর্ণ কি না, তা যাচাই করার পরামর্শ দেওয়া হয়েছে।
আন্তর্জাতিক পর্যায়েও ত্রুটি দুটি নিয়ে উদ্বেগ দেখা দিয়েছে। বিভিন্ন সরকারি সংস্থা ও বাণিজ্যিক প্রতিষ্ঠান সম্ভাব্য সাইবার হামলার ঝুকি এড়াতে নিজেদের ওয়েবসাইট সাময়িকভাবে বন্ধ রেখেছে বলে প্রতিবেদনে উল্লেখ করা হয়েছে।
বিজিডি ই-গভ সার্টের বিজ্ঞপ্তি অনুযায়ী, পিএইচপি-এফপিএম, মড-পিএইচপি ব্যবহারকারী অ্যাপাচি, পিএইচপি-সিজিআই, ফ্রাঙ্কেনপিএইচপি এবং লাইটস্পিডভিত্তিক সার্ভারগুলো এ ঝুকির মুখে থাকতে পারে। এ ছাড়া কনটেইনার, শেয়ারড হোস্টিং এবং পিএইচপি দিয়ে তৈরি বিভিন্ন ওয়েব অ্যাপ্লিকেশনও পরীক্ষা করে দেখার পরামর্শ দেওয়া হয়েছে।
পিএইচপি সরকারি ওয়েব পোর্টাল, অনলাইন সেবা, প্রশাসনিক ব্যবস্থা ও ই-কমার্স প্ল্যাটফর্মসহ বিভিন্ন ওয়েবভিত্তিক ব্যবস্থায় ব্যবহৃত হয়। ফলে কোনো সার্ভারে নিরাপত্তাত্রুটি থাকলে সংশ্লিষ্ট ওয়েবসাইটের তথ্য, সেবা ও কার্যক্রমের নিরাপত্তা বিঘ্নিত হতে পারে।
যুক্তরাজ্যের ন্যাশনাল হেলথ সার্ভিসের ডিজিটাল নিরাপত্তা বিভাগও ত্রুটি দুটি নিয়ে সতর্ক করেছে। তাদের মূল্যায়ন অনুযায়ী, এসব ত্রুটি কাজে লাগিয়ে পরিচয় যাচাই ছাড়াই দূর থেকে কোড চালানো কিংবা সংবেদনশীল তথ্য পাওয়ার সুযোগ তৈরি হতে পারে। ভবিষ্যতে ত্রুটি দুটির অপব্যবহারের আশঙ্কাকেও উচ্চ ঝুকি হিসেবে বিবেচনা করা হয়েছে।
বাংলাদেশে সরকারি ওয়েবসাইট তৈরি ও তত্ত্বাবধানের সঙ্গে যুক্ত অ্যাসপায়ার টু ইনোভেট (এটুআই) প্রকল্পের কর্মকর্তারা জানিয়েছেন, তাদের পরিচালিত ন্যাশনাল পোর্টাল ব্যবস্থার ওয়েবসাইটগুলো পিএইচপি দিয়ে তৈরি নয়। তাই পিএইচপির এই নিরাপত্তাত্রুটির কারণে ওই ওয়েবসাইটগুলো সরাসরি ঝুঁকিতে পড়ার কথা নয়।
তবে ন্যাশনাল পোর্টাল ব্যবস্থার বাইরে বিভিন্ন সরকারি প্রতিষ্ঠান ও দপ্তরের ওয়েবসাইট রয়েছে, যেগুলো পিএইচপি প্রযুক্তিতে তৈরি হতে পারে। এসব ওয়েবসাইটের সার্ভারে ঝুঁকিপূর্ণ সংস্করণ ব্যবহৃত হলে সেগুলো নিরাপত্তাঝুঁকিতে পড়তে পারে। একইভাবে বেসরকারি প্রতিষ্ঠানের ওয়েবসাইট ও ওয়েবভিত্তিক অ্যাপ্লিকেশনও এ ত্রুটির কারণে আক্রান্ত হওয়ার আশঙ্কা রয়েছে।
বাংলাদেশে কতটি সরকারি ওয়েবসাইট বা সার্ভারে পিএইচপি ব্যবহার করা হয়, তার নির্দিষ্ট পরিসংখ্যান পাওয়া যায়নি। তবে ঝুকিপূর্ণ সার্ভার দ্রুত শনাক্ত করে প্রয়োজনীয় নিরাপত্তাব্যবস্থা নেওয়ার ওপর গুরুত্ব দিয়েছেন সাইবার নিরাপত্তা বিশেষজ্ঞরা।
ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিক বিভাগের সহযোগী অধ্যাপক তানভীর হাসান জোহা বৃহস্পতিবার আজকের পত্রিকাকে বলেন, বাংলাদেশের সরকারি ওয়েবসাইটের মধ্যে পিএইচপি ব্যবহারকারী সাইটের হার ৬০ থেকে ৮৫ শতাংশ হতে পারে বলে তার ধারণা। তবে এটি যাচাইকৃত পরিসংখ্যান নয়।
তিনি সরকারি সার্ভারগুলোতে পিএইচপির কোন সংস্করণ ব্যবহার করা হচ্ছে, তার তালিকা তৈরির ওপর গুরুত্ব দেন। বিশেষ করে ইন্টারনেটে সরাসরি উন্মুক্ত সার্ভারগুলো আগে শনাক্ত করে সেগুলোর নিরাপত্তা নিশ্চিত করার পরামর্শ দেন তিনি।
তানভীর হাসান জোহা বলেন, সংশ্লিষ্ট সার্ভারগুলোকে দ্রুত নিরাপত্তা সমাধানযুক্ত পিএইচপি সংস্করণে হালনাগাদ করতে হবে। যেসব সার্ভারে দ্রুত হালনাগাদ করা সম্ভব নয়, সেগুলোর ক্ষেত্রে সাময়িকভাবে ফায়ারওয়াল ব্যবহার করে প্রবেশ নিয়ন্ত্রণ এবং প্রয়োজনে ইন্টারনেট থেকে বিচ্ছিন্ন রাখার ব্যবস্থা বিবেচনা করা উচিত।
পাশাপাশি সাম্প্রতিক কয়েক দিনের সার্ভার লগ পরীক্ষা করে অস্বাভাবিক অনুরোধ ও সন্দেহজনক কার্যক্রম শনাক্ত করাও জরুরি বলে মনে করেন তিনি।
বিশেষজ্ঞ এই গবেষক বিজিডি ই-গভ সার্টের পক্ষ থেকে সময়সীমা নির্ধারণ করে সমন্বিত নির্দেশনা দেওয়ার প্রস্তাব দিয়েছেন। তার মতে, সাইবার নিরাপত্তা নিশ্চিত করতে আইন ও নীতিমালার পাশাপাশি প্রযুক্তিগত অবকাঠামো হালনাগাদ রাখা এবং সাইবার হামলার ঘটনায় দ্রুত সাড়া দেওয়ার সক্ষমতা গড়ে তোলা প্রয়োজন।
বিজিডি ই-গভ সার্টের বিজ্ঞপ্তিতে বলা হয়েছে, অ্যাপ্লিকেশন বা ফ্রেমওয়ার্ক হালনাগাদ করলেই এর পেছনে ব্যবহৃত পিএইচপি রানটাইম স্বয়ংক্রিয়ভাবে হালনাগাদ হয় না। তাই সার্ভারে ওয়েব অনুরোধ পরিচালনাকারী প্রকৃত পিএইচপি সংস্করণে নিরাপত্তা সমাধান যুক্ত হয়েছে কি না, তা নিশ্চিত করতে হবে।
নিরাপত্তা সমাধান যুক্ত করার আগপর্যন্ত কনফিগারেশন পরিবর্তন এবং নেটওয়ার্কে প্রবেশ সীমিত করার মাধ্যমে ঝুকি কমানো যেতে পারে। তবে এসব ব্যবস্থা স্থায়ী সমাধান নয় বলে সতর্ক করেছে সংস্থাটি।
এ ছাড়া নিরাপত্তাত্রুটি প্রকাশের আগেই কোনো সার্ভারে অনুপ্রবেশ ঘটেছে কি না, তা যাচাই করার ওপর গুরুত্ব দেওয়া হয়েছে। কারণ, সফটওয়্যার হালনাগাদ করলেই আগে থেকে ঘটে যাওয়া অনুপ্রবেশ বা সার্ভারে করা ক্ষতিকর পরিবর্তন স্বয়ংক্রিয়ভাবে দূর হয় না।