বাংলাদেশের প্রস্তুতি ও প্রাতিষ্ঠানিক সাইবার সুরক্ষার বাস্তবতা

ডিজিটাল দুনিয়ায় সব ধরনের বিপদ খালি চোখে দেখা যায় না। কখনো কখনো ব্যাকএন্ড সফটওয়্যারের গভীরে লুকিয়ে থাকা একটি সাধারণ কোডিং ত্রুটিই সাইবার অপরাধীদের জন্য বড় সুযোগ তৈরি করে দেয়। এর মাধ্যমে খোয়া যেতে পারে নাগরিকদের স্পর্শকাতর তথ্য, বেহাত হতে পারে সার্ভারের সামগ্রিক প্রশাসনিক নিয়ন্ত্রণ, এমনকি মুখথুবড়ে পড়তে পারে জরুরি জাতীয় অনলাইন সেবা।

গত ২১ অক্টোবর ২০২৬, ওয়েবসাইট তৈরিতে বিশ্বের অন্যতম প্রধান সার্ভার-সাইড প্রোগ্রামিং ভাষা পিএইচপির (PHP) দুটি মারাত্মক নিরাপত্তা দুর্বলতা নিয়ে আন্তর্জাতিক সাইবার নিরাপত্তা অঙ্গনে তীব্র সতর্কতা ছড়িয়ে পড়ে। প্রযুক্তি মহলে ‘php2shell’ নামে পরিচিত এই ত্রুটি দুটির আন্তর্জাতিক শনাক্তকরণ নম্বর হলো CVE-2026-109618 ও CVE-2026-109619। আন্তর্জাতিক মানদণ্ড কমন ভালনারেবিলিটি স্কোরিং সিস্টেমে (CVSS) ১০-এর মধ্যে এই দুর্বলতার ঝুঁকির মাত্রা নির্ধারিত হয়েছে ৯.২—যা সাইবার সুরক্ষার ভাষায় ‘চরম ঝুঁকিপূর্ণ’ (Critical)। নির্দিষ্ট পরিস্থিতিতে এই দুর্বলতাকে কাজে লাগিয়ে দূর থেকেই হ্যাকাররা সার্ভারে ক্ষতিকর কোড বা স্ক্রিপ্ট চালানোর সুযোগ (Unauthenticated Remote Code Execution) পেয়ে যায়। ফলে সংশ্লিষ্ট প্রতিষ্ঠানের ডেটাবেজ ও অনলাইন সেবা তাৎক্ষণিকভাবে মারাত্মক ঝুঁকিতে পড়ে।

বাংলাদেশের প্রেক্ষাপটে এই ঝুঁকির তাৎপর্য

পিএইচপির ব্যাপক ও একচ্ছত্র ব্যবহারের কারণেই এই নিরাপত্তা দুর্বলতা বাংলাদেশের জন্য বিশেষভাবে আশঙ্কাজনক। আন্তর্জাতিক ওয়েব প্রযুক্তি জরিপকারী প্রতিষ্ঠান ডব্লিউথ্রিটেকস (W3Techs)-এর অক্টোবর ২০২৬-এর পরিসংখ্যান অনুযায়ী, বিশ্বজুড়ে যেসব ওয়েবসাইটের সার্ভার-সাইড ভাষা শনাক্ত করা সম্ভব হয়েছে, তার ৬৯.৭ শতাংশ ক্ষেত্রে পিএইচপি ব্যবহৃত হয়। বাংলাদেশে সার্ভার অবস্থিত এমন শনাক্তযোগ্য ওয়েবসাইটের ক্ষেত্রে এই হার আরও অনেক বেশি—প্রায় ৮৯.৩ শতাংশ। এমনকি দেশীয় ডট-বিডি (.bd) ডোমেইন ব্যবহারকারী শনাক্তযোগ্য ওয়েবসাইটের প্রায় ৭৭.৩ শতাংশই সরাসরি পিএইচপি-নির্ভর।

এই পরিসংখ্যানের বাস্তবতা অত্যন্ত স্পষ্ট। বাংলাদেশের ই-কমার্স প্ল্যাটফর্ম, মূলধারার সংবাদমাধ্যম, আর্থিক খাতের ইন্টারফেস এবং সরকারি-বেসরকারি বিভিন্ন নাগরিক সেবায় ব্যবহৃত ব্যাকএন্ড সিস্টেমের বড় অংশই এই কাঠামোগত দুর্বলতার আওতায় পড়ে। অবশ্য কেবল পিএইচপি ব্যবহার করলেই কোনো সার্ভার স্বয়ংক্রিয়ভাবে আক্রান্ত হয় না; প্রকৃত ঝুঁকি নির্ভর করে ব্যবহৃত পিএইচপির নির্দিষ্ট সংস্করণ, সার্ভারের ইন্টারনাল কনফিগারেশন এবং জরুরি নিরাপত্তা প্যাচ যথাসময়ে ইনস্টল করা হয়েছে কি না, তার ওপর।

এই ঘটনাটিকে আন্তর্জাতিকভাবে আরও বেশি আলোচিত করে তুলেছে কৃত্রিম বুদ্ধিমত্তার (AI) সহায়তায় নিরাপত্তা ত্রুটি শনাক্ত করার নজির। শীর্ষস্থানীয় আন্তর্জাতিক ক্লাউড সিকিউরিটি প্রতিষ্ঠান ‘উইজ’ (Wiz) এই আবিষ্কারকে তাদের শনাক্ত করা অন্যতম মারাত্মক নিরাপত্তা সংকট হিসেবে অভিহিত করেছে। অন্যদিকে ত্রুটি শনাক্তে ব্যবহৃত কৃত্রিম বুদ্ধিমত্তা প্রযুক্তির নির্মাতা ওপেনএআই (OpenAI) একে সাম্প্রতিক সময়ের অন্যতম তাৎপর্যপূর্ণ নিরাপত্তা অগ্রগতি হিসেবে বর্ণনা করেছে। এ ঘটনা স্পষ্ট করে দেয় যে, যুগ যুগ ধরে প্রচলিত লিগ্যাসি প্রযুক্তিতেও এমন গোপন দুর্বলতা লুকিয়ে থাকতে পারে, যা আধুনিক প্রযুক্তির সাহায্যে নতুন করে উন্মোচিত হচ্ছে।

সাময়িক শাটডাউন বনাম স্থায়ী নিরাপত্তা

আন্তর্জাতিক সংবাদমাধ্যমের প্রতিবেদন অনুযায়ী, সম্ভাব্য ঝুঁকি মোকাবিলায় যুক্তরাজ্য সরকারসহ বিভিন্ন আন্তর্জাতিক সংস্থা কিছু সংবেদনশীল ওয়েবসাইট সাময়িকভাবে বন্ধ রেখে অভ্যন্তরীণ নিরাপত্তা অডিট পরিচালনা করেছে। স্বস্তির বিষয় হলো, এখন পর্যন্ত এই নির্দিষ্ট দুর্বলতা কাজে লাগিয়ে কোনো বৃহৎ হামলার আনুষ্ঠানিক প্রমাণ মেলেনি। তবে কোনো হামলার প্রমাণ তাৎক্ষণিকভাবে না পাওয়ার অর্থ এই নয় যে সিস্টেম পুরোপুরি ঝুঁকিমুক্ত। বরং এমন উচ্চ-ঝুঁকিপূর্ণ মুহূর্তে অনতিবিলম্বে নিরাপত্তা প্যাচ প্রয়োগ, কারিগরি কনফিগারেশন পরিবর্তন এবং সার্ভার লগে অননুমোদিত প্রবেশের চিহ্ন (IoC) অনুসন্ধান করাই আধুনিক সাইবার প্রটোকল।

এই আন্তর্জাতিক বাস্তবতার আলোকে বাংলাদেশ ব্যাংকের ওয়েবসাইট সাময়িকভাবে রক্ষণাবেক্ষণের জন্য বন্ধ রাখার পদক্ষেপটিকেও পেশাদার দৃষ্টিকোণ থেকে দেখা প্রয়োজন। বৈশ্বিক এই সতর্কবার্তার পরিপ্রেক্ষিতে কেন্দ্রীয় ব্যাংক যদি এ পদক্ষেপ নিয়ে থাকে, তবে তা দায়িত্বশীল ও সতর্কতামূলক ঝুঁকি ব্যবস্থাপনার (Preventive Risk Management) অংশ হিসেবে বিবেচিত হতে পারে। সাময়িকভাবে কোনো পোর্টাল বা সেবা বন্ধ থাকলে সাধারণ ব্যবহারকারীরা হয়তো কিছুটা ভোগান্তির শিকার হন; কিন্তু সম্ভাব্য নিরাপত্তাঝুঁকি যাচাই না করে অনিরাপদ অবস্থায় পোর্টাল চালু রাখার ঝুঁকি আরও অনেক বেশি বিধ্বংসী।

তবে সেবা সাময়িক বন্ধ রাখাই সাইবার সুরক্ষার চূড়ান্ত সমাধান হতে পারে না। সংশ্লিষ্ট সফটওয়্যার নিরাপদ ও সমর্থিত সংস্করণে উন্নীত করা, সার্ভারের মেমোরি ফেইলওভার ও কনফিগারেশন খতিয়ে দেখা এবং কোনো ম্যালিশাস স্ক্রিপ্ট সক্রিয় রয়েছে কি না তা ফরেনসিক্যালি নিশ্চিত করাই আসল কাজ। অর্থাৎ সাময়িক শাটডাউন কেবল একটি প্রাথমিক সুরক্ষামূলক পদক্ষেপ; টেকসই নিরাপত্তা নির্ভর করে এর পরবর্তী প্রযুক্তিগত প্রতিকারের সফল বাস্তবায়নের ওপর।

প্রতিক্রিয়ার চেয়ে প্রস্তুতিই আসল শক্তি

এই বৈশ্বিক ঘটনাটি বাংলাদেশের ডিজিটাল কাঠামোর সামনে একটি মৌলিক প্রশ্ন তৈরি করেছে: আমরা কি সবসময় বড় ধরনের সাইবার আক্রমণের পর কেবল আতঙ্কিত হয়ে প্রতিক্রিয়া দেখাব, নাকি হামলার আগেই ঝুঁকি আগাম শনাক্ত ও মোকাবিলার দীর্ঘমেয়াদি প্রস্তুতি গড়ে তুলব?

প্রকৃত সাইবার স্থিতিস্থাপকতা বা সাইবার রেজিলিয়েন্স (Cyber Resilience) কেবল হঠাৎ সতর্কবার্তা জারি করা কিংবা দ্রুত সফটওয়্যার আপডেট দেওয়ার মধ্যে সীমাবদ্ধ নয়। রেজিলিয়েন্সের অর্থ হলো—প্রযুক্তিগত আঘাত বা বিপর্যয়ের মুখেও গুরুত্বপূর্ণ রাষ্ট্রীয় ও বাণিজ্যিক সেবাকে সচল রাখা এবং কোনো ক্ষতি হলে দ্রুততম সময়ে স্বাভাবিক অবস্থায় ফিরে আসার প্রাতিষ্ঠানিক সক্ষমতা অর্জন করা। এর জন্য প্রয়োজন নিজস্ব ডিজিটাল অবকাঠামোর সঠিক ম্যাপিং, নিয়মিত থার্ড-পার্টি সিকিউরিটি অডিট ও পেন-টেস্টিং, সার্বক্ষণিক হুমকি পর্যবেক্ষণ (SOC), অফ-সাইট এনক্রিপ্টেড ব্যাকআপ এবং নিয়মিত সাইবার ড্রিল পরিচালনা করা।

একই সঙ্গে প্রতিষ্ঠানের কারিগরি দল, শীর্ষ ব্যবস্থাপনা এবং নীতিনির্ধারকদের মধ্যে সমন্বয় থাকা আবশ্যক। সাইবার নিরাপত্তাকে শুধু একটি প্রতিষ্ঠানের আইটি বিভাগের একক দায়িত্ব হিসেবে দেখার সেকেলে মানসিকতা বদলাতে হবে। এটি মূলত একটি প্রতিষ্ঠানের প্রাতিষ্ঠানিক সুশাসন, ব্যবসায়িক ধারাবাহিকতা এবং জাতীয় সুরক্ষার অবিচ্ছেদ্য অঙ্গ।

এই মানসিক প্রস্তুতি কেবল কেন্দ্রীয় ব্যাংক বা বড় বড় সরকারি সংস্থার ভেতরে সীমাবদ্ধ রাখলে চলবে না। ক্ষুদ্র ও মাঝারি ই-কমার্স, আঞ্চলিক সংবাদমাধ্যম, শিক্ষাপ্রতিষ্ঠান, স্বাস্থ্যসেবা কেন্দ্র এবং ফিনটেক সেবাদাতা প্রতিটি ডিজিটাল প্রতিষ্ঠানকে সাইবার নিরাপত্তাকে তাদের প্রাত্যহিক কার্যতালিকার অন্তর্ভুক্ত করতে হবে। কারণ ডিজিটাল সাপ্লাই চেইনের যুগে যেকোনো একটি প্রান্তিক প্রতিষ্ঠানের নিরাপত্তা ঘাটতি পুরো জাতীয় নেটওয়ার্কের জন্যই বড় হুমকি তৈরি করতে পারে।

ডিজিটাল সেবার দ্রুত বিকাশ বাংলাদেশের জাতীয় অর্থনীতি ও জনসেবায় বিপুল সম্ভাবনার দ্বার উন্মোচন করেছে। তবে এই রূপান্তরের স্থায়িত্ব নির্ভর করছে আমাদের ডিজিটাল অবকাঠামো কতটা সুরক্ষিত ও নির্ভরযোগ্য, তার ওপর। ডিজিটাল মাধ্যমে নাগরিকের ডেটা সুরক্ষা ও বিশ্বাসযোগ্যতা বজায় রাখার কোনো বিকল্প নেই।

প্রযুক্তির সব দুর্বলতা হয়তো শতভাগ আগেভাগে শনাক্ত করা সম্ভব নয়; তবে নিয়মিত তদারকি, ঝুঁকি সম্পর্কে আগাম সচেতনতা এবং তাৎক্ষণিক প্রতিকার নিশ্চিত করার মাধ্যমে সম্ভাব্য ক্ষয়ক্ষতি বহুলাংশে নিয়ন্ত্রণ করা সম্ভব। আমাদের লক্ষ্য হওয়া উচিত কেবল সংকটের মুহূর্তে দৌড়ঝাঁপ করা নয়, বরং এমন একটি প্রাতিষ্ঠানিক নিরাপত্তা-সংস্কৃতি গড়ে তোলা—যেখানে ঝুঁকি দ্রুত শনাক্ত হবে, সঠিক সময়ে প্রতিকার মিলবে এবং যেকোনো জাতীয় ডিজিটাল প্ল্যাটফর্ম সর্বোচ্চ দায়িত্বশীলতার সাথে পরিচালিত হবে।