বিশ্বের অন্যতম জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপিতে 'পিএইচপি২শেল' নামে পরিচিত দুটি অত্যন্ত ঝুঁকিপূর্ণ নিরাপত্তা ত্রুটি শনাক্ত হয়েছে। এর ফলে হ্যাকাররা কোনো ইউজারনেম বা পাসওয়ার্ড ছাড়াই দূর থেকে যেকোনো ওয়েবসাইটের সার্ভারের পূর্ণ নিয়ন্ত্রণ নিতে সক্ষম। ২১ অক্টোবর, বুধবার ডিজিবাংলায় বৈশ্বিক এই খবর প্রকাশের ২২ অক্টোবর, বৃহস্পতিবার সকালে বাংলাদেশে কোনো সার্ভার বা সাইট আক্রান্ত হয়েছে কি না বা করণীয় নিয়ে সংবাদ প্রকাশ প্রকাশ করা হয়। পরবর্তীতে সরকারি-বেসরকারি সব ওয়েবসাইটের নিরাপত্তা নিশ্চিত করতে উচ্চ সতর্কতা জারি করে বাংলাদেশ সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম (বিজিডি ই-গভ সার্ট)। সাইবার নিরাপত্তা জোরদারে এই পদক্ষেপ গ্রহণ করা হয়।

পিএইচপির মারাত্মক নিরাপত্তা ত্রুটি ‘পিএইচপি২শেল’: বৈশ্বিক সতর্কতার মুখে বাংলাদেশ

বিজিডি ই-গভ সার্ট জানায়, শনাক্ত হওয়া ত্রুটি দুটির আইডি হলো CVE-2026-109618 ও CVE-2026-109619, যার সার্বিক সিভিএসএস (CVSS) স্কোর ৯.২। এটি সর্বোচ্চ মাত্রার বিপজ্জনক বা ঝুঁকিপূর্ণ হিসেবে বিবেচিত। জারি করা সতর্কবার্তায় বলা হয়, এই জটিল সমস্যাটি মূলত পিএইচপির মেমোরি ব্যবস্থাপনার সঙ্গে সম্পর্কিত। সার্ভারের মেমোরি শেষ হয়ে গেলে কিংবা মেমোরি খালি করার পরও পুরোনো রিকোয়েস্টের ডেটা থেকে যাওয়ার সুযোগ কাজে লাগিয়ে হ্যাকাররা বিশেষভাবে তৈরি এইচটিটিপি রিকোয়েস্ট পাঠিয়ে অনায়াসে সার্ভারে ক্ষতিকর কোড এক্সিকিউট করতে পারে।

এই সিকিউরিটি ব্রিচের কারণে সর্বাধিক ঝুঁকিতে পড়েছে PHP-FPM এবং অ্যাপাচির 'mod_php' ব্যবহারকারীরা। এ ছাড়া PHP-CGI, FrankenPHP, LiteSpeed, ডকার কন্টেইনার এবং শেয়ার্ড হোস্টিংয়ে পরিচালিত দেশের সব সরকারি পোর্টাল, ব্যাংক, ই-কমার্স, ওয়ার্ডপ্রেস ও লারাভেল ভিত্তিক ওয়েবসাইটগুলো চরম হুমকির মুখে রয়েছে। সফল আক্রমণ হলে পুরো সার্ভারের দখল চলে যাওয়া, স্পর্শকাতর ডেটা ও ফাইল চুরি, ডাটাবেসের পাসওয়ার্ড ও এপিআই কি (API Key) ফাঁস এবং ওয়েবসাইট অচল হয়ে যাওয়ার মতো মারাত্মক বিপর্যয় ঘটতে পারে।

পিএইচপির নিরাপত্তা ত্রুটিতে অফলাইনে সরকারি ওয়েবসাইট

সমাধান হিসেবে অবিলম্বে পিএইচপি রানটাইম হালনাগাদ করার নির্দেশ দিয়েছে সার্ট। সুরক্ষিত নতুন সংস্করণগুলো হলো— ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ এবং ৮.২.৩৫। সার্ট জোর দিয়ে জানায়, শুধু ফ্রেমওয়ার্ক বা অ্যাপ্লিকেশন নয়, সার্ভারের মূল পিএইচপি রানটাইম হালনাগাদ করা আবশ্যক। জরুরি ভিত্তিতে যারা এখনই প্যাচ দিতে পারবেন না, তাদের সাময়িকভাবে সার্ভার ভিপিএনের পেছনে রাখা, আইপিভিত্তিক অনুমোদন তালিকা তৈরি এবং লগ পর্যবেক্ষণ বাড়ানোর পরামর্শ দেওয়া হয়েছে। তবে স্থায়ী সমাধানের জন্য রানটাইম আপডেট করাই একমাত্র পথ। 

//ডিবিটেক/জেএনইউ/এসএমপি/এফওইডি//