সম্প্রতি পিএইচপি প্রোগ্রামিং ভাষার দু’টি গুরুতর নিরাপত্তা ত্রুটি ধরা পড়েছে। কৃত্রিম বুদ্ধিমত্তার (এআই) সহায়তায় ধরা পড়া এই ত্রুটি কাজে লাগিয়ে হ্যাকাররা দূর থেকেই ব্যবহারকারীর নাম ও পাসওয়ার্ড ব্যবহারের মাধ্যমে ওয়েবসাইটের সার্ভারে ঢুকে ক্ষতিকর নির্দেশনা চালাতে পারে। এতে ওয়েবসাইটের নিয়ন্ত্রণ নেয়ার পাশাপাশি গুরুত্বপূর্ণ তথ্য চুরির ঝুঁকি তৈরি হয়েছে।
এ নিয়ে ইতোমধ্যে বিশ্বজুড়ে সতর্কতা জারির পর থেকে একের পর এক ওয়েবসাইট বন্ধ রাখা হচ্ছে। ইন্টারনেটের বড় একটি অংশে ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে এই ত্রুটি ধরা পড়ার পর দেশেও সাইবার হামলার ঝুঁকি নিয়ে উচ্চ সতর্কতা জারি করেছে সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম বিজিডি ই-গভ সার্ট (BGD e-GOV CIRT)। এরপর থেকে নিরাপত্তাঝুঁকি এড়াতে বাংলাদেশ ব্যাংকসহ কয়েকটি ব্যাংকের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছে।
বৃহস্পতিবার (২২ অক্টোবর) বিজিডি ই-গভ সার্টের পক্ষ থেকে জারি করা ওই সতর্কতায় বলা হয়, পিএইচপি প্রোগ্রামিং ভাষায় ধরা পড়া নিরাপত্তা ত্রুটি দু’টি ‘পিএইচপি২শেল’ নামে পরিচিত। এগুলোর শনাক্তকরণ নম্বর সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯। আন্তর্জাতিক নিরাপত্তা মূল্যায়ন পদ্ধতিতে ত্রুটি দু’টির ঝুঁকির মাত্রা ১০ এর মধ্যে ৯ দশমিক ২। অর্থাৎ, এগুলো অত্যন্ত গুরুতর নিরাপত্তা ত্রুটি।
সার্টের তথ্য অনুযায়ী, ইন্টারনেটের বড় একটি অংশে ব্যবহৃত প্রোগ্রামিং ভাষাটির তথ্য সংরক্ষণ ও ব্যবহারের ব্যবস্থায় সমস্যার ফলে এই ঝুঁকি তৈরি হয়েছে। সাধারণত, কোনো কাজ করার সময় কম্পিউটার সাময়িকভাবে তথ্য জমা রাখে। তবে কাজ শেষে সেই তথ্য ঠিকভাবে সরিয়ে না ফেলা হলে হ্যাকাররা এর সুযোগ নিতে পারে। বিশেষভাবে তৈরি অনুরোধ ওয়েবসাইটের সার্ভারে পাঠিয়ে তারা সেখানে নিজেদের নির্দেশনা চালাতে পারে। এর ফলে সার্ভারের নিয়ন্ত্রণও হ্যাকারদের হাতে চলে যেতে পারে।
প্রোগ্রামিং ভাষা পিএইচপি দিয়ে ওয়েবসাইট চালানোর কয়েকটি প্রযুক্তি এই ত্রুটির কারণে বেশি ঝুঁকিতে রয়েছে। এর মধ্যে পিএইচপি-এফপিএম, অ্যাপাচির মড_পিএইচপি, পিএইচপি-সিজিআই, ফ্র্যাঙ্কেনপিএইচপি ও লাইটস্পিড অন্যতম। এসব প্রযুক্তি ওয়েবসাইট চালু রাখা এবং ব্যবহারকারীর অনুরোধ অনুযায়ী তথ্য দেখানোর কাজে ব্যবহৃত হয়। এ ছাড়া একই সার্ভারে একাধিক ওয়েবসাইট চালানোর ব্যবস্থার পাশাপাশি ডকারের মতো প্রযুক্তি ব্যবহার করা সার্ভারও এই ঝুঁকির আওতায় রয়েছে।
এতে সরকারি পোর্টাল ছাড়াও ব্যাংক, অনলাইন কেনাকাটার ওয়েবসাইটসহ ওয়ার্ডপ্রেস ও লারাভেল দিয়ে তৈরি সাইট আক্রান্ত হওয়ার আশঙ্কাও রয়েছে। এ ক্ষেত্রে হ্যাকারদের হামলা সফল হলে সার্ভারের নিয়ন্ত্রণ হারানোর পাশাপাশি গুরুত্বপূর্ণ ফাইল ও তথ্য চুরি, তথ্যভান্ডারে প্রবেশের পাসওয়ার্ড ফাঁস এবং ওয়েবসাইট অচল হয়ে যেতে পারে। এমনকি বিভিন্ন অনলাইন সেবার সঙ্গে সংযোগ স্থাপনে ব্যবহৃত গোপন সংকেতও চুরির আশঙ্কা রয়েছে।
সার্ট এই সমস্যা সমাধানে পিএইচপির নিরাপদ সংস্করণ দ্রুত হালনাগাদের পরামর্শ দিয়েছে। এ ক্ষেত্রে নিরাপদ সংস্করণগুলো হলো— ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ ও ৮.২.৩৫। তবে শুধু ওয়েবসাইট তৈরির সফটওয়্যার হালনাগাদ করলেই হবে না, এর পাশাপাশি সার্ভারে চালু পিএইচপির মূল সংস্করণও হালনাগাদ করতে হবে। এরপর নিরাপত্তার সংশোধন কার্যকর হয়েছে কি না— সেটিও পরীক্ষা করে দেখতে হবে।
এ ক্ষেত্রে তাৎক্ষণিকভাবে হালনাগাদের সুযোগ না থাকলে সার্ভারে প্রবেশের সুযোগ সীমিত করার পরামর্শ দেয়া হয়েছে। পাশাপাশি ভিপিএনের মাধ্যমে নির্দিষ্ট নিরাপদ সংযোগ ব্যবহার করে সার্ভারে প্রবেশের ব্যবস্থা করা এবং অনুমোদিত আইপি ঠিকানা ছাড়া অন্য ঠিকানা থেকে প্রবেশ বন্ধ রাখা যেতে পারে। এ ছাড়াও সার্ভারে কী ধরনের কার্যক্রম চলছে, তার রেকর্ড নিয়মিত পরীক্ষা করতে হবে। তবে ঝুঁকি এড়াতে এসব সাময়িক ব্যবস্থা, নিরাপদ সংস্করণ হালনাগাদই স্থায়ী সমাধান।
গড় রেটিং: ৫/৫ (১ ভোট)
ধন্যবাদ! আপনার মতামত নেওয়া হয়েছে।
সোমবার, ০২ নভেম্বর ২০২৬
প্রকাশের তারিখ : শুক্রবার, ২৩ অক্টোবর ২০২৬, ১২:৫০ পূর্বাহ্ণ
সম্প্রতি পিএইচপি প্রোগ্রামিং ভাষার দু’টি গুরুতর নিরাপত্তা ত্রুটি ধরা পড়েছে। কৃত্রিম বুদ্ধিমত্তার (এআই) সহায়তায় ধরা পড়া এই ত্রুটি কাজে লাগিয়ে হ্যাকাররা দূর থেকেই ব্যবহারকারীর নাম ও পাসওয়ার্ড ব্যবহারের মাধ্যমে ওয়েবসাইটের সার্ভারে ঢুকে ক্ষতিকর নির্দেশনা চালাতে পারে। এতে ওয়েবসাইটের নিয়ন্ত্রণ নেয়ার পাশাপাশি গুরুত্বপূর্ণ তথ্য চুরির ঝুঁকি তৈরি হয়েছে।
এ নিয়ে ইতোমধ্যে বিশ্বজুড়ে সতর্কতা জারির পর থেকে একের পর এক ওয়েবসাইট বন্ধ রাখা হচ্ছে। ইন্টারনেটের বড় একটি অংশে ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে এই ত্রুটি ধরা পড়ার পর দেশেও সাইবার হামলার ঝুঁকি নিয়ে উচ্চ সতর্কতা জারি করেছে সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম বিজিডি ই-গভ সার্ট (BGD e-GOV CIRT)। এরপর থেকে নিরাপত্তাঝুঁকি এড়াতে বাংলাদেশ ব্যাংকসহ কয়েকটি ব্যাংকের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছে।
বৃহস্পতিবার (২২ অক্টোবর) বিজিডি ই-গভ সার্টের পক্ষ থেকে জারি করা ওই সতর্কতায় বলা হয়, পিএইচপি প্রোগ্রামিং ভাষায় ধরা পড়া নিরাপত্তা ত্রুটি দু’টি ‘পিএইচপি২শেল’ নামে পরিচিত। এগুলোর শনাক্তকরণ নম্বর সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯। আন্তর্জাতিক নিরাপত্তা মূল্যায়ন পদ্ধতিতে ত্রুটি দু’টির ঝুঁকির মাত্রা ১০ এর মধ্যে ৯ দশমিক ২। অর্থাৎ, এগুলো অত্যন্ত গুরুতর নিরাপত্তা ত্রুটি।
সার্টের তথ্য অনুযায়ী, ইন্টারনেটের বড় একটি অংশে ব্যবহৃত প্রোগ্রামিং ভাষাটির তথ্য সংরক্ষণ ও ব্যবহারের ব্যবস্থায় সমস্যার ফলে এই ঝুঁকি তৈরি হয়েছে। সাধারণত, কোনো কাজ করার সময় কম্পিউটার সাময়িকভাবে তথ্য জমা রাখে। তবে কাজ শেষে সেই তথ্য ঠিকভাবে সরিয়ে না ফেলা হলে হ্যাকাররা এর সুযোগ নিতে পারে। বিশেষভাবে তৈরি অনুরোধ ওয়েবসাইটের সার্ভারে পাঠিয়ে তারা সেখানে নিজেদের নির্দেশনা চালাতে পারে। এর ফলে সার্ভারের নিয়ন্ত্রণও হ্যাকারদের হাতে চলে যেতে পারে।
প্রোগ্রামিং ভাষা পিএইচপি দিয়ে ওয়েবসাইট চালানোর কয়েকটি প্রযুক্তি এই ত্রুটির কারণে বেশি ঝুঁকিতে রয়েছে। এর মধ্যে পিএইচপি-এফপিএম, অ্যাপাচির মড_পিএইচপি, পিএইচপি-সিজিআই, ফ্র্যাঙ্কেনপিএইচপি ও লাইটস্পিড অন্যতম। এসব প্রযুক্তি ওয়েবসাইট চালু রাখা এবং ব্যবহারকারীর অনুরোধ অনুযায়ী তথ্য দেখানোর কাজে ব্যবহৃত হয়। এ ছাড়া একই সার্ভারে একাধিক ওয়েবসাইট চালানোর ব্যবস্থার পাশাপাশি ডকারের মতো প্রযুক্তি ব্যবহার করা সার্ভারও এই ঝুঁকির আওতায় রয়েছে।
এতে সরকারি পোর্টাল ছাড়াও ব্যাংক, অনলাইন কেনাকাটার ওয়েবসাইটসহ ওয়ার্ডপ্রেস ও লারাভেল দিয়ে তৈরি সাইট আক্রান্ত হওয়ার আশঙ্কাও রয়েছে। এ ক্ষেত্রে হ্যাকারদের হামলা সফল হলে সার্ভারের নিয়ন্ত্রণ হারানোর পাশাপাশি গুরুত্বপূর্ণ ফাইল ও তথ্য চুরি, তথ্যভান্ডারে প্রবেশের পাসওয়ার্ড ফাঁস এবং ওয়েবসাইট অচল হয়ে যেতে পারে। এমনকি বিভিন্ন অনলাইন সেবার সঙ্গে সংযোগ স্থাপনে ব্যবহৃত গোপন সংকেতও চুরির আশঙ্কা রয়েছে।
সার্ট এই সমস্যা সমাধানে পিএইচপির নিরাপদ সংস্করণ দ্রুত হালনাগাদের পরামর্শ দিয়েছে। এ ক্ষেত্রে নিরাপদ সংস্করণগুলো হলো— ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ ও ৮.২.৩৫। তবে শুধু ওয়েবসাইট তৈরির সফটওয়্যার হালনাগাদ করলেই হবে না, এর পাশাপাশি সার্ভারে চালু পিএইচপির মূল সংস্করণও হালনাগাদ করতে হবে। এরপর নিরাপত্তার সংশোধন কার্যকর হয়েছে কি না— সেটিও পরীক্ষা করে দেখতে হবে।
এ ক্ষেত্রে তাৎক্ষণিকভাবে হালনাগাদের সুযোগ না থাকলে সার্ভারে প্রবেশের সুযোগ সীমিত করার পরামর্শ দেয়া হয়েছে। পাশাপাশি ভিপিএনের মাধ্যমে নির্দিষ্ট নিরাপদ সংযোগ ব্যবহার করে সার্ভারে প্রবেশের ব্যবস্থা করা এবং অনুমোদিত আইপি ঠিকানা ছাড়া অন্য ঠিকানা থেকে প্রবেশ বন্ধ রাখা যেতে পারে। এ ছাড়াও সার্ভারে কী ধরনের কার্যক্রম চলছে, তার রেকর্ড নিয়মিত পরীক্ষা করতে হবে। তবে ঝুঁকি এড়াতে এসব সাময়িক ব্যবস্থা, নিরাপদ সংস্করণ হালনাগাদই স্থায়ী সমাধান।
