দেশে সাইবার হামলা নিয়ে উচ্চ সতর্কতা জারি

জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপিতে (PHP) দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হওয়ার পর দেশে উচ্চ সতর্কতা জারি করেছে বাংলাদেশ সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম বিজিডি ই-গভ সার্ট।

‘পিএইচপি২শেল’ (PHP2Shell) নামে পরিচিত এই দুর্বলতা কাজে লাগিয়ে হ্যাকাররা কোনো ইউজারনেম বা পাসওয়ার্ড ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে। এতে সরকারি ওয়েবসাইট, ব্যাংক, ই-কমার্স প্ল্যাটফর্মসহ বিভিন্ন অনলাইন সেবা বড় ধরনের সাইবার হামলার ঝুঁকিতে রয়েছে।

সার্টের সতর্কবার্তা অনুযায়ী, শনাক্ত হওয়া নিরাপত্তা ত্রুটি দুটির সিভিই আইডি হলো CVE-2026-109618 ও CVE-2026-109619। ত্রুটি দুটির সিভিএসএস (CVSS) স্কোর ৯.২, যা অত্যন্ত গুরুতর নিরাপত্তাঝুঁকি হিসেবে বিবেচিত। এসব দুর্বলতা কাজে লাগিয়ে আক্রমণকারী বিশেষভাবে তৈরি এইচটিটিপি (HTTP) রিকোয়েস্ট পাঠিয়ে আক্রান্ত সার্ভারে অননুমোদিতভাবে কোড চালানোর সুযোগ পেতে পারে।

সার্ট জানিয়েছে, সমস্যাটির মূল কারণ পিএইচপির মেমোরি ব্যবস্থাপনায় থাকা দুর্বলতা। মেমোরি শেষ হয়ে যাওয়া কিংবা মেমোরি মুক্ত করার পরও আগের রিকোয়েস্টের ডেটা থেকে যাওয়ার সুযোগ কাজে লাগিয়ে আক্রমণ চালানো সম্ভব হতে পারে। এর ফলে আক্রান্ত সার্ভারের নিয়ন্ত্রণ নেওয়ার আশঙ্কা রয়েছে।

ঝুঁকিতে সরকারি ওয়েবসাইট, ব্যাংক ও ই-কমার্স
সার্টের সতর্কতা অনুযায়ী, পিএইচপি-এফপিএম (PHP-FPM) এবং অ্যাপাচির মড_পিএইচপি (mod_php) ব্যবহারকারীরা সবচেয়ে বেশি ঝুঁকিতে রয়েছেন। এ ছাড়া পিএইচপি-সিজিআই (PHP-CGI), ফ্র্যাঙ্কেনপিএইচপি, লাইটস্পিড, ডকার কনটেইনার এবং শেয়ার্ড হোস্টিংয়ে পরিচালিত বিভিন্ন ওয়েবসাইটও আক্রান্ত হওয়ার আশঙ্কা রয়েছে।

বিশেষ করে পিএইচপি, ওয়ার্ডপ্রেস ও লারাভেলভিত্তিক ওয়েবসাইটের নিরাপত্তা নিশ্চিত করতে দ্রুত পদক্ষেপ নেওয়ার প্রয়োজন রয়েছে। এসব প্রযুক্তির ওপর নির্ভরশীল সরকারি পোর্টাল, ব্যাংক ও আর্থিক সেবা, ই-কমার্স প্ল্যাটফর্ম এবং অন্যান্য অনলাইন সেবার ক্ষেত্রে ঝুঁকিটি গুরুত্বপূর্ণ।

হামলা সফল হলে যেসব ক্ষতি হতে পারে
নিরাপত্তা ত্রুটিগুলো কাজে লাগিয়ে সফলভাবে হামলা চালানো হলে পুরো সার্ভারের নিয়ন্ত্রণ হারানোর আশঙ্কা রয়েছে। একই সঙ্গে গুরুত্বপূর্ণ তথ্য ও ফাইল চুরি, ডেটাবেসের পাসওয়ার্ড এবং এপিআই কি (API Key) ফাঁস হওয়ার মতো ঘটনা ঘটতে পারে। এ ছাড়া ওয়েবসাইট অচল করে দেওয়া এবং অনলাইন সেবা ব্যাহত করার ঝুঁকিও রয়েছে।

এ ধরনের পরিস্থিতি এড়াতে সার্ভার প্রশাসক ও সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে দ্রুত নিরাপত্তাব্যবস্থা জোরদার করার পরামর্শ দিয়েছে সার্ট।

যেসব সংস্করণে হালনাগাদ করতে হবে
সার্টের পরামর্শ অনুযায়ী, নিরাপত্তাঝুঁকি মোকাবিলায় পিএইচপি দ্রুত হালনাগাদ করতে হবে। সতর্কবার্তায় উল্লেখ করা নিরাপদ সংস্করণগুলো হলো PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 এবং PHP 8.2.35।

এ ক্ষেত্রে শুধু ওয়েবসাইটের ফ্রেমওয়ার্ক বা অ্যাপ্লিকেশন হালনাগাদ করলেই হবে না। সার্ভারে ব্যবহৃত পিএইচপির মূল রানটাইমও নিরাপদ সংস্করণে হালনাগাদ হয়েছে কি না, তা নিশ্চিত করতে হবে।

যেসব প্রতিষ্ঠান তাৎক্ষণিকভাবে নিরাপত্তা প্যাচ ইনস্টল করতে পারবে না, তাদের জন্য সাময়িক ব্যবস্থা হিসেবে সার্ভার ভিপিএনের (VPN) পেছনে রাখা, আইপি-ভিত্তিক অনুমোদন তালিকা চালু করা এবং সার্ভারের লগ নিয়মিত ও নিবিড়ভাবে পর্যবেক্ষণের পরামর্শ দেওয়া হয়েছে।

তবে সার্টের সতর্কবার্তায় স্পষ্ট করা হয়েছে, এসব সাময়িক ব্যবস্থা ঝুঁকি কমাতে সহায়তা করলেও নিরাপত্তা ত্রুটি দূর করার স্থায়ী সমাধান হলো পিএইচপির নিরাপদ সংস্করণে হালনাগাদ করা। তাই সংশ্লিষ্ট প্রতিষ্ঠান ও সার্ভার প্রশাসকদের দ্রুত প্রয়োজনীয় পদক্ষেপ নেওয়ার ওপর গুরুত্ব দেওয়া হয়েছে।

এনএনবাংলা/