পিএইচপির দুই গুরুতর ত্রুটি: দেশে সার্ভার তালিকা করে সংস্করণ যাচাইয়ের নির্দেশনা দিল বিজিডি ই-গভ সার্ট

ছবিঃ সংগৃহীত

নিজেদের সার্ভারে কোথায় কোথায় পিএইচপি চলছে, আগে তার একটি তালিকা তৈরি করতে হবে; এরপর দেখতে হবে ব্যবহৃত সংস্করণগুলো ঝুঁকিতে আছে কি না—দেশের প্রতিষ্ঠানগুলোকে এই নির্দেশনা দিয়েছে সরকারের সাইবার নিরাপত্তা দেখভালের দায়িত্বে থাকা বিজিডি ই-গভ সার্ট। ওয়েবসাইট তৈরি ও চালানোয় বহুল ব্যবহৃত প্রোগ্রামিং ল্যাঙ্গুয়েজ পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি ধরা পড়ার পর ‘পিএইচপি২শেল’ (PHP2Shell) নামে পরিচিত এই ঝুঁকি নিয়ে বাংলাদেশেও সতর্কতা জারি হলো। ত্রুটিগুলোর সুযোগে সাইবার হামলাকারীরা ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে। সাইবার হামলার ঝুঁকি এড়াতে বিশ্বের নানা দেশে বিভিন্ন সরকারি সংস্থা ও বাণিজ্যিক প্রতিষ্ঠান তাদের ওয়েবসাইট সাময়িকভাবে বন্ধ রেখেছে।

আজ বৃহস্পতিবার (২২ অক্টোবর) প্রকাশিত নিরাপত্তা বিজ্ঞপ্তিতে সার্ট সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯ নম্বরের দুটি ত্রুটির কথা উল্লেখ করেছে। এগুলো কাজে লাগিয়ে আক্রমণকারীরা ঝুঁকিপূর্ণ সার্ভারে দূর থেকে কোড চালাতে পারে; তাতে সার্ভারের নিয়ন্ত্রণ নিয়ে নেওয়া, তথ্য চুরি কিংবা ওয়েবসাইটের কাজ ব্যাহত হওয়ার আশঙ্কা রয়েছে।

বিজ্ঞপ্তি অনুযায়ী, পিএইচপি-এফপিএম, মড-পিএইচপি ব্যবহারকারী অ্যাপাচি, পিএইচপি-সিজিআই, ফ্রাঙ্কেনপিএইচপি ও লাইটস্পিডভিত্তিক সার্ভার এই ঝুঁকির মুখে থাকতে পারে। কনটেইনার, শেয়ারড হোস্টিং এবং পিএইচপিতে তৈরি নানা ওয়েব অ্যাপ্লিকেশনও পরীক্ষা করে দেখতে বলা হয়েছে।

ওয়েবসাইটের নানা কাজ চালাতে ব্যবহৃত একটি প্রোগ্রামিং প্রযুক্তি পিএইচপি। সরকারি ওয়েব পোর্টাল, অনলাইন সেবা, প্রশাসনিক ব্যবস্থা ও ই-কমার্স প্ল্যাটফর্মসহ অনেক ব্যবস্থায় এটি কাজে লাগে। তাই কোনো সার্ভারে ত্রুটি থাকলে সংশ্লিষ্ট ওয়েবসাইটের তথ্য ও কাজকর্মের নিরাপত্তা বিঘ্নিত হতে পারে।

সাইবার নিরাপত্তা বিশেষজ্ঞদের বিভিন্ন আন্তর্জাতিক সতর্কবার্তাতেও ত্রুটি দুটিকে গুরুতর ঝুঁকি হিসেবে দেখা হয়েছে। যুক্তরাজ্যের ন্যাশনাল হেলথ সার্ভিসের ডিজিটাল নিরাপত্তা বিভাগ বলেছে, এগুলোর সুযোগে পরিচয় যাচাই ছাড়াই দূর থেকে কোড চালানো বা সংবেদনশীল তথ্য হাতানোর পথ তৈরি হতে পারে। ভবিষ্যতে ত্রুটির অপব্যবহারের আশঙ্কাকে তারা উচ্চ বলে মূল্যায়ন করেছে।

দেশে সরকারি ওয়েবসাইট তৈরি ও তত্ত্বাবধানে যুক্ত অ্যাসপায়ার টু ইনোভেট (এটুআই) প্রকল্পের কর্মকর্তারা জানান, তাঁদের পরিচালিত ন্যাশনাল পোর্টাল ব্যবস্থার ওয়েবসাইটগুলো পিএইচপিতে তৈরি নয়; তাই এই ত্রুটির কারণে সেগুলো সরাসরি ঝুঁকিতে পড়ার কথা নয়। তবে ন্যাশনাল পোর্টালের বাইরে বিভিন্ন সরকারি প্রতিষ্ঠান বা দপ্তরের নিজস্ব ওয়েবসাইট আছে, যেগুলো পিএইচপিতে তৈরি হতে পারে; সংশ্লিষ্টদের মতে সেগুলো ঝুঁকিতে আছে। দেশের বেসরকারি খাতেও ওয়েবসাইট ও নানা ওয়েবভিত্তিক অ্যাপ্লিকেশন তৈরিতে পিএইচপি ব্যবহৃত হয়। ফলে সরকারি ন্যাশনাল পোর্টালের বাইরের বিভিন্ন প্রতিষ্ঠান ও অনলাইন সেবায় এই ত্রুটির প্রভাব পড়তে পারে বলে আশঙ্কা বিশেষজ্ঞদের।

দেশে কতগুলো সরকারি ওয়েবসাইট বা সার্ভারে পিএইচপি চলে, তার নির্দিষ্ট হিসাব পাওয়া যায়নি। তবে পিএইচপির বৈশ্বিক ব্যবহার এবং সরকারি অনলাইন সেবায় এর ব্যাপক প্রয়োগ বিবেচনায় ঝুঁকিপূর্ণ সার্ভার দ্রুত শনাক্তের তাগিদ দিয়েছেন সাইবার নিরাপত্তা বিশেষজ্ঞ তানভীর হাসান জোহা।

ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিক বিভাগের সহযোগী অধ্যাপক তানভীর হাসান জোহা আজ আজকের পত্রিকাকে বলেন, তাঁর ধারণা, দেশের সরকারি ওয়েবসাইটের ৬০ থেকে ৮৫ শতাংশ পিএইচপি ব্যবহার করতে পারে; যদিও এটি যাচাই করা পরিসংখ্যান নয়। সরকারি সার্ভারগুলোর পিএইচপি সংস্করণের তালিকা তৈরির ওপর তিনি জোর দেন। বিশেষ করে ইন্টারনেটে সরাসরি উন্মুক্ত সার্ভারগুলো আগে খুঁজে বের করে সেগুলো সুরক্ষিত করার পরামর্শ দেন তিনি।

তানভীর হাসান জোহার পরামর্শ, সংশ্লিষ্ট সার্ভারগুলো দ্রুত নিরাপত্তা সমাধানযুক্ত পিএইচপি সংস্করণে হালনাগাদ করতে হবে। যেসব সার্ভারে তাৎক্ষণিক হালনাগাদ সম্ভব নয়, সেখানে সাময়িকভাবে ফায়ারওয়াল দিয়ে প্রবেশ নিয়ন্ত্রণ এবং দরকার হলে ইন্টারনেট থেকে বিচ্ছিন্ন রাখার কথা ভাবতে হবে। পাশাপাশি গত কয়েক দিনের সার্ভার লগ ঘেঁটে অস্বাভাবিক অনুরোধ বা সন্দেহজনক কার্যক্রম খোঁজাও জরুরি।

বিজিডি ই-গভ সার্ট সময়সীমা বেঁধে দিয়ে সমন্বিত নির্দেশনা দিক—এমন প্রস্তাবও দিয়েছেন তানভীর হাসান। তাঁর মতে, সাইবার নিরাপত্তা নিশ্চিত করতে আইন ও নীতিমালার পাশাপাশি প্রযুক্তিগত অবকাঠামো হালনাগাদ রাখা এবং দ্রুত সাড়া দেওয়ার সক্ষমতা তৈরি করা দরকার।

ত্রুটি সারাতে প্রতিষ্ঠানগুলোকে দ্রুত পিএইচপি রানটাইম হালনাগাদ করার পরামর্শ দিয়েছে বিজিডি ই-গভ সার্ট। বিজ্ঞপ্তিতে মনে করিয়ে দেওয়া হয়েছে, অ্যাপ্লিকেশন বা ফ্রেমওয়ার্ক হালনাগাদ করলেই পেছনের পিএইচপি রানটাইম হালনাগাদ হয়ে যায় না। তাই সার্ভারে ওয়েব অনুরোধ সামলানো আসল পিএইচপি সংস্করণে নিরাপত্তা সমাধান যুক্ত হয়েছে কি না, সেটি নিশ্চিত করতে হবে।

হালনাগাদ না হওয়া পর্যন্ত কনফিগারেশন বদলে এবং নেটওয়ার্কে প্রবেশ সীমিত করে ঝুঁকি কমানো গেলেও তা স্থায়ী সমাধান নয়। ত্রুটির খবর প্রকাশের আগেই কোনো সার্ভারে অনুপ্রবেশ ঘটেছে কি না, তা যাচাই করাও গুরুত্বপূর্ণ; কারণ, সফটওয়্যার হালনাগাদ করলেই আগের কোনো অনুপ্রবেশ বা ক্ষতিকর পরিবর্তন আপনা থেকে মুছে যায় না।

সূত্র — মূল প্রতিবেদন: আজকের পত্রিকা