বিশ্বের অন্যতম জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপিতে ‘পিএইচপি২শেল’ নামে পরিচিত দুটি অত্যন্ত ঝুঁকিপূর্ণ নিরাপত্তা ত্রুটি শনাক্ত হয়েছে। এই ত্রুটির মাধ্যমে হ্যাকাররা কোনো ইউজারনেম বা পাসওয়ার্ড ছাড়াই দূর থেকে সার্ভারের পূর্ণ নিয়ন্ত্রণ নিতে সক্ষম।
এ পরিস্থিতিতে সরকারি-বেসরকারি সব ওয়েবসাইটের নিরাপত্তা নিশ্চিত করতে আজ উচ্চ সতর্কতা জারি করেছে বাংলাদেশ সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম (বিজিডি ই-গভ সার্ট)। সংস্থাটি জানায়, ত্রুটি দুটির সিভিই আইডি হলো সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯। সার্বিক ঝুঁকি বিবেচনায় এর সিভিএসএস (সিভিএসএস) স্কোর ধরা হয়েছে ৯.২, যা সর্বোচ্চ মাত্রার বিপজ্জনক বা ঝুঁকিপূর্ণ হিসেবে বিবেচিত।
সার্টের জারি করা সতর্কবার্তায় বলা হয়, এই জটিল সমস্যাটি মূলত পিএইচপির মেমোরি ব্যবস্থাপনার সঙ্গে সম্পর্কিত। সার্ভারের মেমোরি শেষ হয়ে গেলে কিংবা মেমোরি খালি করার পরও পুরোনো রিকোয়েস্টের ডেটা থেকে যাওয়ার সুযোগ তৈরি হয়। এই সুযোগ কাজে লাগিয়ে হ্যাকাররা বিশেষভাবে তৈরি এইচটিটিপি রিকোয়েস্ট পাঠিয়ে অনায়াসে সার্ভারে ক্ষতিকর কোড এক্সিকিউট করতে পারে।
এর ফলে সর্বাধিক ঝুঁকিতে পড়েছে পিএইচপি-এফপিএম এবং অ্যাপাচির ‘মডথপিএইচপি’ ব্যবহারকারীরা। এ ছাড়া পিএইচপি-সিজিআই, ফ্র্যাঙ্কেনপিএইচপি, লাইটস্পিড, ডকার কন্টেইনার এবং শেয়ার্ড হোস্টিংয়ে পরিচালিত দেশের সব সরকারি পোর্টাল, ব্যাংক, ই-কমার্স, ওয়ার্ডপ্রেস ও লারাভেল ভিত্তিক ওয়েবাসাইটগুলো চরম হুমকির মুখে রয়েছে। সতর্কতায় বলা হয়, সফল আক্রমণ হলে পুরো সার্ভারের দখল চলে যাওয়া, ডেটা ও ফাইল চুরি, ডাটাবেসের পাসওয়ার্ড ও এপিআই কি ফাঁস এবং ওয়েবসাইট অচল হয়ে যাওয়ার মতো বড় ক্ষতি হতে পারে। সমাধান হিসেবে অবিলম্বে পিএইচপি হালনাগাদ করতে বলেছে সার্ট।
নিরাপদ সংস্করণগুলো হলো- ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ এবং ৮.২.৩৫। শুধু ফ্রেমওয়ার্ক নয়, সার্ভারের মূল পিএইচপি রানটাইম হালনাগাদ হয়েছে কি না তা নিশ্চিত করতে বলা হয়েছে। সতর্কবার্তায় বলা হয়, যারা এখনই প্যাচ দিতে পারবেন না, তাদের জন্য সাময়িকভাবে সার্ভার ভিপিএন এর পেছনে রাখা, আইপিভিত্তিক অনুমোদন তালিকা করা এবং লগ পর্যবেক্ষণ বাড়ানোর পরামর্শ দেওয়া হয়েছে। তবে হালনাগাদ করাই একমাত্র স্থায়ী সমাধান বলে জানিয়েছে সার্ট।
বিআলো/অর্নব