বিশ্বজুড়ে ওয়েবসাইট তৈরি ও পরিচালনায় সবচেয়ে বহুল ব্যবহৃত প্রোগ্রামিং ল্যাঙ্গুয়েজ পিএইচপিতে দুটি অত্যন্ত সংবেদনশীল ও গুরুতর নিরাপত্তা ত্রুটি ধরা পড়েছে। ‘পিএইচপি২শেল’ (PHP2Shell) নামে পরিচিতি পাওয়া এই ত্রুটির সুযোগ নিয়ে হ্যাকাররা বা সাইবার হামলাকারীরা ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে যে কোনো সার্ভারে ক্ষতিকর কোড চালাতে পারে।
এর ফলে সার্ভারের পূর্ণ নিয়ন্ত্রণ নেওয়া, অতি গোপনীয় তথ্য চুরি কিংবা ওয়েবসাইটের স্বাভাবিক কার্যক্রম অচল করে দেওয়ার মতো বড় ধরনের সাইবার বিপর্যয়ের আশঙ্কা তৈরি হয়েছে। আন্তর্জাতিকভাবে সাইবার হামলার ঝুঁকিতে পড়ার পর বড় ধরনের ক্ষতি এড়াতে বিশ্বজুড়ে বিভিন্ন দেশের সরকারি সংস্থা ও বাণিজ্যিক প্রতিষ্ঠান তাদের ওয়েবসাইট ও অনলাইন সেবাগুলো সাময়িকভাবে বন্ধ করে দিয়েছে।
ঘটনার পরিপ্রেক্ষিতে বাংলাদেশে সাইবার নিরাপত্তা ও সার্বিক অবকাঠামো দেখভালের দায়িত্বে থাকা সরকারি সংস্থা ‘বিজিডি ই-গভ সার্ট’ বৃহস্পতিবার এক জরুরি বার্তা ও নিরাপত্তা বিজ্ঞপ্তি প্রকাশ করেছে। বিজ্ঞপ্তিতে সার্ট জানিয়েছে, প্রতিটি সরকারি ও বেসরকারি প্রতিষ্ঠানকে প্রথমেই তাদের নিজস্ব নেটওয়ার্ক ও সার্ভারের কোথায় কোথায় পিএইচপি ব্যবহৃত হচ্ছে, তা চিহ্নিত করে সুনির্দিষ্ট তালিকা করতে হবে। এরপর ব্যবহৃত পিএইচপির সংস্করণগুলো ঝুঁকিপূর্ণ কি না, তা যাচাই করার তাগিদ দেওয়া হয়েছে।
প্রকাশিত নিরাপত্তা বিজ্ঞপ্তিতে ‘সিভিই-২০২৬-১০৯৬১৮’ এবং ‘সিভিই-২০২৬-১০৯৬১৯’ নম্বরের দুটি সুনির্দিষ্ট ত্রুটির কথা আনুষ্ঠানিকভাবে উল্লেখ করা হয়েছে। বিজ্ঞপ্তিতে আরও বলা হয়, পিএইচপি-এফপিএম, মড-পিএইচপি ব্যবহারকারী অ্যাপাচি, পিএইচপি-সিজিআই, ফ্রাঙ্কেনপিএইচপি এবং লাইটস্পিডভিত্তিক সার্ভারগুলো এই মারাত্মক ঝুঁকির প্রধান লক্ষ্য হতে পারে। এ ছাড়া কনটেইনার, শেয়ারড হোস্টিং এবং পিএইচপি ব্যবহার করে নির্মিত বিভিন্ন বাণিজ্যিক ওয়েবের নিরাপত্তা যাচাই করার তাগিদ দেওয়া হয়েছে।
বিশ্বের বিভিন্ন আন্তর্জাতিক সাইবার বিশেষজ্ঞ সংস্থাও এই ত্রুটির বিষয়ে চরম উদ্বেগ প্রকাশ করেছে। যুক্তরাজ্যের ন্যাশনাল হেলথ সার্ভিসের (এনএইচএস) ডিজিটাল নিরাপত্তা বিভাগ জানিয়েছে, এই নিরাপত্তা ফাটল ব্যবহার করে পরিচয় প্রমাণ ছাড়াই ক্ষতিকর কমান্ড চালানো বা ডাটাবেসের সংবেদনশীল ফাইল হাতিয়ে নেওয়া সম্ভব। ভবিষ্যতে এই সুযোগ নিয়ে বিশ্বজুড়ে বড় ধরনের সাইবার আক্রমণ হতে পারে বলে তারা তাদের মূল্যায়নে উচ্চ সতর্ক সংকেত দিয়েছে।
এদিকে বাংলাদেশে সরকারি পোর্টালগুলোর নিরাপত্তা নিয়ে উদ্বেগ তৈরি হয়েছে। যদিও অ্যাসপায়ার টু ইনোভেট (এটুআই) প্রকল্পের দায়িত্বশীল কর্মকর্তারা জানিয়েছেন, তাদের পরিচালিত ‘ন্যাশনাল পোর্টাল’ ব্যবস্থার সরকারি সাইটগুলো পিএইচপি দিয়ে তৈরি নয়। ফলে তারা সরাসরি ঝুঁকিতে পড়ছে না।
তবে ন্যাশনাল পোর্টালের বাইরে যেসব আলাদা সরকারি দপ্তর, বিশ্ববিদ্যালয় কিংবা স্বায়ত্তশাসিত প্রতিষ্ঠানের নিজস্ব ওয়েবসাইট রয়েছে, সেগুলো পিএইচপি নির্ভর হলে বড় ঝুঁকিতে পড়তে পারে। পাশাপাশি বেসরকারি খাত, ব্যাংক ও ই-কমার্স প্ল্যাটফর্মগুলোতে পিএইচপির ব্যপক ব্যবহারের কারণে ঝুঁকি অনেক বেড়ে গেছে।
ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিক বিভাগের সহযোগী অধ্যাপক ও প্রযুক্তি বিশেষজ্ঞ তানভীর হাসান জোহা জানান, বাংলাদেশে সরকারি ওয়েবসাইটের মধ্যে পিএইচপি ব্যবহার করা সাইটের হার আনুমানিক ৬০ থেকে ৮৫ শতাংশ পর্যন্ত হতে পারে। সরকারি তথ্যব্যবস্থার নিরাপত্তা বজায় রাখতে হলে ইন্টারনেট থেকে সরাসরি যুক্ত উন্মুক্ত সার্ভারগুলোকে চিহ্নিত করে অতি দ্রুত নিরাপত্তাযুক্ত নতুন সংস্করণে পিএইচপি রানটাইম হালনাগাদ করতে হবে।
যেসব ক্ষেত্রে তাৎক্ষণিক হালনাগাদ সম্ভব নয়, সেগুলোর নিরাপত্তা নিশ্চিত করতে ফায়ারওয়ালের মাধ্যমে অ্যাক্সেস বন্ধ রাখা কিংবা সাময়িকভাবে সার্ভারকে ইন্টারনেট বিচ্ছিন্ন রাখার পরামর্শ দিয়েছেন এই বিশেষজ্ঞ। একই সাথে বিগত কয়েক দিনের সার্ভার লগ ফাইলগুলো গভীরভাবে স্ক্যান করে কোনো অস্বাভাবিক অনুপ্রবেশ ঘটেছে কি না, তা খতিয়ে দেখার জন্য বিজিডি ই-গভ সার্টের পক্ষ থেকে সুনির্দিষ্ট সময়সীমা নির্ধারণ করে কঠোর জাতীয় গাইডলাইন দেওয়ার প্রস্তাব করেন তিনি।
বিজিডি ই-গভ সার্ট তাদের সতর্কবার্তায় জোর দিয়ে বলেছে, শুধু ফ্রেমওয়ার্ক বা ওয়েবসাইট অ্যাপ্লিকেশন আপডেট করলেই এই সমস্যার স্থায়ী সমাধান হবে না; সার্ভারে কার্যকর থাকা মূল পিএইচপি রানটাইম এনভায়রনমেন্ট আপডেট করতে হবে। সফটওয়্যার আপডেট করলেই পূর্বের লুকানো অনধিকার প্রবেশ বা ক্ষতিকর পরিবর্তন মুছে যায় না, তাই পুরো ডিজিটাল অবকাঠামো গভীরভাবে ফরেনসিক পরীক্ষা করার পরামর্শ দিয়েছে সংস্থাটি।