বিশ্বজুড়ে ইন্টারনেটের প্রায় ৭০ শতাংশ ওয়েবসাইটে ব্যবহৃত জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপি (PHP)-এর কোর ইঞ্জিনে ‘পিএইচপি২শেল’ (PHP2Shell) নামের একটি অত্যন্ত বিপজ্জনক ও জটিল নিরাপত্তা ত্রুটি শনাক্ত করেছে বৈশ্বিক সাইবার নিরাপত্তা গবেষণা প্রতিষ্ঠান ওইজ রিসার্চ (Wiz Research)। সিভিএসএস (CVSS) স্কেলে ৯.২ মাত্রার এই উচ্চ ঝুঁকিপূর্ণ ত্রুটির কারণে হ্যাকাররা কোনো ধরনের পাসওয়ার্ড বা পূর্বানুমতি (Authentication) ছাড়াই দূর থেকে সার্ভারের সম্পূর্ণ নিয়ন্ত্রণ নিতে পারে এবং সংবেদনশীল তথ্য ও মেমোরি চুরি করতে পারে। বৈশ্বিক এই সতর্কবার্তার পর বাংলাদেশের সরকারি-বেসরকারি ডিজিটাল অবকাঠামো ও ওয়েবসাইটের নিরাপত্তা নিশ্চিতে জোর তৎপরতা শুরু হয়েছে।

ক্লাউড নিরাপত্তা প্রতিষ্ঠান ওইজ-এর কারিগরি বিশ্লেষণ অনুযায়ী, পিএইচপির রিকোয়েস্ট ও মেমোরি ব্যবস্থাপনায় ত্রুটির কারণে উদ্ভূত এই দুর্বলতা (CVE-2026-109618 ও CVE-2026-109619) গত এক দশকেরও বেশি সময় ধরে পিএইচপি ৫.৪ থেকে শুরু করে পরবর্তী সংস্করণগুলোতে সুপ্ত অবস্থায় ছিল। আধুনিক কৃত্রিম বুদ্ধিমত্তা (AI) প্রযুক্তির সহায়তা নিয়ে গবেষকেরা প্রমাণ করেছেন যে, ওয়ার্ডপ্রেস, জুমলা কিংবা দ্রুপালসহ যেকোনো পিএইচপিনির্ভর প্ল্যাটফর্মে এই কোড এক্সিকিউশন ও হার্টব্লিড-সদৃশ মেমোরি ফাঁসের আক্রমণ চালানো সম্ভব। পরিস্থিতি মোকাবিলায় পিএইচপি কর্তৃপক্ষ ইতিমধ্যে ত্রুটি সংশোধন করে ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ এবং ৮.২.৩৫ সংস্করণ অবমুক্ত করেছে।

বাংলাদেশের প্রেক্ষাপট পর্যালোচনা করে প্রযুক্তিবিদ নাহিদ হোসেন জানান, তুলনামূলক সহজ গঠন ও ডেটাবেজ সংযোগ সুবিধার কারণে দেশে ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশন তৈরিতে দীর্ঘদিন ধরে পিএইচপি প্রথম পছন্দ ছিল। বর্তমানে ওয়ার্ডপ্রেস, জুমলা ও লারাভেলের পাশাপাশি অনেকে নন-পিএইচপি প্ল্যাটফর্মে ঝুঁকলেও দেশের সিংহভাগ বেসরকারি খাতের ওয়েবসাইট এখনও পিএইচপিনির্ভর। তবে পিএইচপি ব্যবহার করলেই আক্রান্ত হবে এমন নয়; ঝুঁকি নির্ভর করছে ব্যবহৃত সংস্করণ ও সার্ভার ফায়ারওয়ালের সুরক্ষার ওপর। যেসব প্রতিষ্ঠান দ্রুত সংশোধিত প্যাচ প্রয়োগ করেছে, তাদের ঝুঁকি নেই বললেই চলে।

সাইবার নিরাপত্তা বিশেষজ্ঞ তানভীর হাসান জোহা বলেন, প্রতিটি সরকারি ও গুরুত্বপূর্ণ সার্ভারে পিএইচপির কোন সংস্করণ চলছে, তার ম্যাপিং করা এখন প্রধান কাজ। ইন্টারনেটে উন্মুক্ত (পাবলিক-ফেসিং) সার্ভারগুলোকে অগ্রাধিকার ভিত্তিতে প্যাচ করতে হবে। তিনি জানান, পিএইচপি ৮.১ ও তার আগের সংস্করণগুলো অনেক আগেই মেয়াদোত্তীর্ণ (End of Life) হওয়ায় সেগুলোর জন্য সরাসরি অফিসিয়াল সমাধান মিলবে না। সে ক্ষেত্রে লিনাক্স ডিস্ট্রিবিউশনের নিজস্ব নিরাপত্তা প্যাচ প্রয়োগ করতে হবে অথবা দ্রুত নতুন সমর্থিত সংস্করণে মাইগ্রেশন সম্পন্ন করতে হবে। জরুরি সুরক্ষায় ফায়ারওয়াল কার্যকর হলেও তা স্থায়ী সমাধান নয়; প্রয়োজনে ঝুঁকিপূর্ণ সিস্টেম সাময়িকভাবে ইন্টারনেট থেকে বিচ্ছিন্ন রাখার পরামর্শ দেন তিনি।

ব্রেইন স্টেশন ২৩-এর সাইবারস্টেশনের হেড অব সাইবারসিকিউরিটি সার্ভিসেস মোহিব্বুল মোক্তাদির তানিম জানান, পাসওয়ার্ডহীন এই রিমোট কোড এক্সিকিউশন দেশের ই-কমার্স ও এন্টারপ্রাইজ খাতের জন্য মারাত্মক হুমকি হতে পারে। তিনি দেশের সব ওয়েবসাইট প্রশাসককে তাৎক্ষণিকভাবে সমর্থিত নিরাপদ সংস্করণে আপগ্রেড করার আহ্বান জানান এবং প্যাচ প্রয়োগের পর নিরাপত্তা নিরীক্ষা (Security Audit) নিশ্চিত করার ওপর গুরুত্বারোপ করেন।

এদিকে সরকারের কেন্দ্রীয় প্ল্যাটফর্ম ‘ন্যাশনাল পোর্টাল ফ্রেমওয়ার্ক’-এর আওতাধীন প্রায় ৩৬ হাজার ৫০০টি সরকারি ওয়েবসাইটের নিরাপত্তা নিয়ে আশ্বস্ত করেছে এস্পায়ার টু ইনোভেট (এটুআই)। নাম প্রকাশ না করার শর্তে এটুআইয়ের একজন জ্যেষ্ঠ কর্মকর্তা জানান, জাতীয় পোর্টালের এই বিপুলসংখ্যক সাইট পিএইচপি ভাষায় তৈরি নয়। তা সত্ত্বেও বৈশ্বিক সতর্কতা জারির পরপরই অভ্যন্তরীণ সাইবার নিরাপত্তা দলকে সর্বোচ্চ সতর্কাবস্থায় রাখা হয়েছে। পাশাপাশি বিভিন্ন সরকারি দপ্তর ও স্বায়ত্তশাসিত প্রতিষ্ঠানের নিজস্ব উদ্যোগে নির্মিত সাইটগুলো কোন প্রযুক্তিতে চলছে, তা খতিয়ে দেখা হচ্ছে।

সরকারের সাইবার নিরাপত্তাবিষয়ক সংস্থা ‘বিজিডি ই-গভ সার্ট’ (BGD e-GOV CIRT) ইতিমধ্যে একটি বিশেষ সতর্কতামূলক পরামর্শপত্র জারি করেছে। সংস্থাটি প্রতিটি প্রতিষ্ঠানকে তাদের সার্ভারে ব্যবহৃত পিএইচপির সঠিক তালিকা তৈরি ও ঝুঁকি মূল্যায়নের নির্দেশ দিয়েছে।

 //ডিবিটেক/আইএইচ/এসএমপি/এফওইডি//

পিএইচপির নিরাপত্তা ত্রুটিতে অফলাইনে সরকারি ওয়েবসাইট