ওয়েবসাইট তৈরিতে বহুল ব্যবহৃত প্রোগ্রামিং প্রযুক্তি পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হয়েছে। এসব ত্রুটি কাজে লাগিয়ে সাইবার হামলাকারীরা দূর থেকেই সার্ভারে ক্ষতিকর কোড চালাতে পারে। এতে ওয়েবসাইটের নিয়ন্ত্রণ নেওয়া, সংবেদনশীল তথ্য চুরি ও অনলাইন সেবা ব্যাহত হওয়ার ঝুঁকি তৈরি হয়েছে। এ পরিস্থিতিতে বাংলাদেশের সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে সতর্ক করে নিরাপত্তা নির্দেশনা দিয়েছে সরকারের সাইবার নিরাপত্তা-সংশ্লিষ্ট সংস্থা বিজিডি ই-গভ সার্ট।
বৃহস্পতিবার (২২ অক্টোবর) প্রকাশিত এক নিরাপত্তা বিজ্ঞপ্তিতে সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯ নম্বরের দুটি ত্রুটির কথা উল্লেখ করা হয়। ‘পিএইচপি২শেল’ নামে পরিচিত এ ঝুঁকি মোকাবিলায় সংশ্লিষ্ট সার্ভারে পিএইচপির কোন সংস্করণ ব্যবহৃত হচ্ছে, তা শনাক্ত করে প্রয়োজনীয় নিরাপত্তা হালনাগাদ করার পরামর্শ দিয়েছে সংস্থাটি।
বিজিডি ই-গভ সার্টের তথ্য অনুযায়ী, পিএইচপি-এফপিএম, পিএইচপি-সিজিআই, ফ্রাঙ্কেনপিএইচপি, লাইটস্পিডভিত্তিক সার্ভার ও মড-পিএইচপি ব্যবহারকারী অ্যাপাচি সার্ভারেও ঝুঁকির মুখে থাকতে পারে। পাশাপাশি কনটেইনার, শেয়ারড হোস্টিং ও পিএইচপি দিয়ে তৈরি ওয়েব অ্যাপ্লিকেশনও পরীক্ষা করে দেখতে হবে।
পিএইচপি দিয়ে সরকারি ওয়েবসাইট, অনলাইন সেবা, প্রশাসনিক ব্যবস্থা ও ই-কমার্স প্ল্যাটফর্ম পরিচালিত হয়। ফলে ঝুঁকিপূর্ণ সার্ভারে নিরাপত্তা ত্রুটি থাকলে সংশ্লিষ্ট প্রতিষ্ঠানের তথ্য ও অনলাইন কার্যক্রম ক্ষতিগ্রস্ত হতে পারে।
বাংলাদেশের সরকারি ওয়েবসাইটের নিরাপত্তা নিয়েও উদ্বেগ রয়েছে। অ্যাসপায়ার টু ইনোভেট (এটুআই) প্রকল্পের কর্মকর্তারা জানিয়েছেন, তাদের পরিচালিত ন্যাশনাল পোর্টাল ব্যবস্থার ওয়েবসাইটগুলো পিএইচপি দিয়ে তৈরি নয়। তবে এ ব্যবস্থার বাইরে বিভিন্ন সরকারি দপ্তর ও প্রতিষ্ঠানের ওয়েবসাইটে পিএইচপি ব্যবহৃত হতে পারে। বেসরকারি প্রতিষ্ঠানের ওয়েবসাইট ও অনলাইন সেবাও এ ঝুঁকির আওতায় আসতে পারে।
ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিক বিভাগের সহযোগী অধ্যাপক তানভীর হাসান জোহা মনে করেন, সরকারি ওয়েবসাইটের মধ্যে পিএইচপি ব্যবহারকারী সাইটের হার ৬০ থেকে ৮৫ শতাংশ হতে পারে। তবে এটি তার ধারণা, যাচাই করা কোনো পরিসংখ্যান নয়। তিনি সরকারি সার্ভারগুলোর পিএইচপি সংস্করণের তালিকা তৈরি এবং ইন্টারনেটে সরাসরি উন্মুক্ত সার্ভারগুলো দ্রুত শনাক্ত করে নিরাপত্তা নিশ্চিত করার ওপর গুরুত্ব দিয়েছেন।
তানভীর হাসান জোহার পরামর্শ, ঝুঁকিপূর্ণ সার্ভারগুলোকে দ্রুত নিরাপত্তা সমাধানযুক্ত পিএইচপি সংস্করণে হালনাগাদ করতে হবে। তাৎক্ষণিকভাবে হালনাগাদ সম্ভব না হলে ফায়ারওয়াল দিয়ে প্রবেশ নিয়ন্ত্রণ এবং প্রয়োজনে সার্ভারকে ইন্টারনেট থেকে সাময়িকভাবে বিচ্ছিন্ন রাখার ব্যবস্থা নিতে হবে। পাশাপাশি সাম্প্রতিক সার্ভার লগ পরীক্ষা করে অস্বাভাবিক অনুরোধ ও সন্দেহজনক কার্যক্রম শনাক্ত করতে হবে।
বিজিডি ই-গভ সার্ট জানিয়েছে, শুধু ওয়েব অ্যাপ্লিকেশন বা ফ্রেমওয়ার্ক হালনাগাদ করলেই পেছনে ব্যবহৃত পিএইচপি রানটাইম হালনাগাদ হয় না। তাই প্রকৃতপক্ষে সার্ভারে চলমান পিএইচপি সংস্করণে নিরাপত্তা সমাধান যুক্ত হয়েছে কি-না, তা নিশ্চিত করতে হবে।
এ ছাড়া সফটওয়্যার হালনাগাদের পাশাপাশি আগে থেকেই কোনো সার্ভারে অনুপ্রবেশ ঘটেছে কি না, তা যাচাই করা জরুরি। কারণ, নিরাপত্তা ত্রুটি সমাধান করলেও আগের অনুপ্রবেশ বা ক্ষতিকর পরিবর্তন স্বয়ংক্রিয়ভাবে দূর হয় না।