প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি ধরা পড়ায় দেশে সাইবার হামলার ঝুঁকি নিয়ে উচ্চ সতর্কতা জারি করেছে সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম বিজিডি ই-গভ সার্ট (BGD e-GOV CIRT)। নিরাপত্তাঝুঁকি এড়াতে বাংলাদেশ ব্যাংকসহ কয়েকটি ব্যাংকের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছে।
কৃত্রিম বুদ্ধিমত্তার (এআই) সহায়তায় ধরা পড়া এই ত্রুটি কাজে লাগিয়ে হ্যাকাররা দূর থেকে ব্যবহারকারীর নাম ও পাসওয়ার্ড ব্যবহারের মাধ্যমে ওয়েবসাইটের সার্ভারে ঢুকে ক্ষতিকর নির্দেশনা চালাতে পারে। এতে ওয়েবসাইটের নিয়ন্ত্রণ নেওয়ার পাশাপাশি গুরুত্বপূর্ণ তথ্য চুরির ঝুঁকি তৈরি হয়েছে।
এ নিয়ে বিশ্বজুড়ে সতর্কতা জারির পর থেকে একের পর এক ওয়েবসাইট বন্ধ রাখা হচ্ছে। ইন্টারনেটের বড় একটি অংশে ব্যবহৃত পিএইচপিতে এই ত্রুটি ধরা পড়ার পর বিজিডি ই-গভ সার্ট দেশেও উচ্চ সতর্কতা জারি করে।
বৃহস্পতিবার (২২ অক্টোবর) সার্টের পক্ষ থেকে জারি করা সতর্কতায় বলা হয়, ত্রুটি দুটি ‘পিএইচপি২শেল’ নামে পরিচিত। এগুলোর শনাক্তকরণ নম্বর সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯। আন্তর্জাতিক নিরাপত্তা মূল্যায়ন পদ্ধতিতে ত্রুটি দুটির ঝুঁকির মাত্রা ১০-এর মধ্যে ৯ দশমিক ২। অর্থাৎ, এগুলো অত্যন্ত গুরুতর নিরাপত্তা ত্রুটি।
ত্রুটির কারণ
সার্টের তথ্য অনুযায়ী, প্রোগ্রামিং ভাষাটির তথ্য সংরক্ষণ ও ব্যবহারের ব্যবস্থায় সমস্যার ফলে এই ঝুঁকি তৈরি হয়েছে। সাধারণত কোনো কাজ করার সময় কম্পিউটার সাময়িকভাবে তথ্য জমা রাখে। কাজ শেষে সেই তথ্য ঠিকভাবে সরিয়ে না ফেলা হলে হ্যাকাররা এর সুযোগ নিতে পারে। বিশেষভাবে তৈরি অনুরোধ ওয়েবসাইটের সার্ভারে পাঠিয়ে তারা সেখানে নিজেদের নির্দেশনা চালাতে পারে। এতে সার্ভারের নিয়ন্ত্রণও হ্যাকারদের হাতে চলে যেতে পারে।
কারা ঝুঁকিতে
পিএইচপি দিয়ে ওয়েবসাইট চালানোর কয়েকটি প্রযুক্তি এই ত্রুটির কারণে বেশি ঝুঁকিতে রয়েছে। এর মধ্যে পিএইচপি-এফপিএম, অ্যাপাচির মড_পিএইচপি, পিএইচপি-সিজিআই, ফ্র্যাঙ্কেনপিএইচপি ও লাইটস্পিড অন্যতম। এসব প্রযুক্তি ওয়েবসাইট চালু রাখা এবং ব্যবহারকারীর অনুরোধ অনুযায়ী তথ্য দেখানোর কাজে ব্যবহৃত হয়। একই সার্ভারে একাধিক ওয়েবসাইট চালানোর ব্যবস্থার পাশাপাশি ডকারের মতো প্রযুক্তি ব্যবহার করা সার্ভারও এই ঝুঁকির আওতায় রয়েছে।
সরকারি পোর্টাল ছাড়াও ব্যাংক, অনলাইন কেনাকাটার ওয়েবসাইটসহ ওয়ার্ডপ্রেস ও লারাভেল দিয়ে তৈরি সাইট আক্রান্ত হওয়ার আশঙ্কা রয়েছে। হামলা সফল হলে সার্ভারের নিয়ন্ত্রণ হারানোর পাশাপাশি গুরুত্বপূর্ণ ফাইল ও তথ্য চুরি, তথ্যভান্ডারে প্রবেশের পাসওয়ার্ড ফাঁস এবং ওয়েবসাইট অচল হয়ে যেতে পারে। এমনকি বিভিন্ন অনলাইন সেবার সঙ্গে সংযোগ স্থাপনে ব্যবহৃত গোপন সংকেতও চুরির আশঙ্কা রয়েছে।
সার্টের পরামর্শ
সার্ট পিএইচপির নিরাপদ সংস্করণ দ্রুত হালনাগাদের পরামর্শ দিয়েছে। নিরাপদ সংস্করণগুলো হলো ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ ও ৮.২.৩৫। শুধু ওয়েবসাইট তৈরির সফটওয়্যার হালনাগাদ করলেই হবে না। সার্ভারে চালু পিএইচপির মূল সংস্করণও হালনাগাদ করতে হবে। এরপর নিরাপত্তার সংশোধন কার্যকর হয়েছে কি না, সেটিও পরীক্ষা করে দেখতে হবে।
তাৎক্ষণিকভাবে হালনাগাদের সুযোগ না থাকলে সার্ভারে প্রবেশের সুযোগ সীমিত করার পরামর্শ দেওয়া হয়েছে। এর অংশ হিসেবে ভিপিএনের মাধ্যমে নির্দিষ্ট নিরাপদ সংযোগ ব্যবহার করে সার্ভারে প্রবেশের ব্যবস্থা করা এবং অনুমোদিত আইপি ঠিকানা ছাড়া অন্য ঠিকানা থেকে প্রবেশ বন্ধ রাখা যেতে পারে। সার্ভারে কী ধরনের কার্যক্রম চলছে, তার রেকর্ড নিয়মিত পরীক্ষা করতে হবে। তবে এসব সাময়িক ব্যবস্থা। ঝুঁকি এড়াতে নিরাপদ সংস্করণে হালনাগাদই স্থায়ী সমাধান।
বিআলো/শিলি