জরুরি নিরাপত্তা ঝুঁকিতে বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ, দেশজুড়ে সাইবার সতর্কতা

জরুরি নিরাপত্তাজনিত কারণে বাংলাদেশ ব্যাংকের অফিশিয়াল ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছে। বৃহস্পতিবার (২২ অক্টোবর) সন্ধ্যা থেকে কেন্দ্রীয় ব্যাংকের সাইটে ঢোকা যাচ্ছে না। একই দিনে পিএইচপি প্রোগ্রামিং ভাষার দুটি গুরুতর ত্রুটির কারণে দেশের সরকারি-বেসরকারি সব ওয়েবসাইটের জন্য উচ্চ সতর্কতা জারি করেছে সরকারের সাইবার নিরাপত্তা দল বিজিডি ই-গভ সার্ট।

ওয়েবসাইট বন্ধের বিষয়টি নিশ্চিত করেছেন বাংলাদেশ ব্যাংকের নির্বাহী পরিচালক ও মুখপাত্র আরিফ হোসেন খান। দৈনিক আমার দেশ জানায়, সন্ধ্যায় সাইটে ঢোকার চেষ্টা করলে রক্ষণাবেক্ষণের কারণে সেবা সাময়িক বন্ধ থাকার একটি বার্তা ভেসে ওঠে। দ্রুতই সেবা ফিরবে বলে বার্তায় উল্লেখ করা হয়।

দ্য বিজনেস স্ট্যান্ডার্ডের খবরে বলা হয়, সন্ধ্যা সাড়ে ৭টাতেও সাইটটি বন্ধ ছিল। মুখপাত্র সাংবাদিকদের জানান, বিশ্বজুড়ে কেন্দ্রীয় ব্যাংকগুলো হ্যাকারদের লক্ষ্যবস্তু হওয়ায় সাইবার হামলা থেকে রক্ষা পেতে আগাম সতর্কতা হিসেবে সাইটটি নামিয়ে নেওয়া হয়েছে। প্রয়োজনীয় নিরাপত্তাব্যবস্থা নেওয়ার পর তা আবার চালু হবে।

দৈনিক ইত্তেফাকের প্রতিবেদনে বলা হয়েছে, পিএইচপির নিরাপত্তা ত্রুটি কাজে লাগিয়ে সম্ভাব্য হামলার আশঙ্কা থেকেই সাইটটি বন্ধ রাখা হয়েছে। কেন্দ্রীয় ব্যাংকের সংশ্লিষ্ট সূত্রের বরাতে পত্রিকাটি জানায়, দুর্বলতা চিহ্নিত ও সারানোর কাজ চলছে, তবে কবে সাইট চালু হবে তা জানানো হয়নি। পিএইচপিভিত্তিক আরও কিছু ব্যাংক ও প্রতিষ্ঠানও সতর্কতামূলক ব্যবস্থা নিয়েছে। তবে বাংলাদেশ ব্যাংকের সাইটে আদৌ কোনো হামলা হয়েছে কি না, তা নিশ্চিত হওয়া যায়নি।

পিএইচপির দুই ত্রুটি নিয়ে উচ্চ সতর্কতা

বিজিডি ই-গভ সার্টের সতর্কবার্তার বরাতে আমার দেশ জানায়, ‘পিএইচপি২শেল’ নামে পরিচিত ত্রুটি দুটির শনাক্তকরণ নম্বর CVE-2026-109618 ও CVE-2026-109619। ঝুঁকি পরিমাপের সিভিএসএস মানদণ্ডে এগুলোর স্কোর ৯.২, যা সবচেয়ে বিপজ্জনক শ্রেণিতে পড়ে। এর সুযোগ নিয়ে কোনো ব্যবহারকারী নাম বা পাসওয়ার্ড ছাড়াই দূর থেকে সার্ভারের পুরো নিয়ন্ত্রণ নেওয়া সম্ভব।

সার্ট বলছে, সমস্যার মূলে রয়েছে পিএইচপির মেমোরি ব্যবস্থাপনা। মেমোরি ফুরিয়ে গেলে কিংবা খালি করার পরও আগের অনুরোধের তথ্য রয়ে গেলে হামলাকারীরা বিশেষভাবে সাজানো এইচটিটিপি অনুরোধ পাঠিয়ে সার্ভারে ক্ষতিকর কোড চালাতে পারে।

সবচেয়ে বেশি ঝুঁকিতে আছেন PHP-FPM ও অ্যাপাচির mod_php ব্যবহারকারীরা। পাশাপাশি PHP-CGI, FrankenPHP, LiteSpeed, ডকার কন্টেইনার ও শেয়ার্ড হোস্টিংয়ে চলা সরকারি পোর্টাল, ব্যাংক, ই-কমার্স এবং ওয়ার্ডপ্রেস ও লারাভেলভিত্তিক সাইটগুলোও হুমকিতে। হামলা সফল হলে সার্ভার বেহাত হওয়া, তথ্য ও ফাইল চুরি, ডেটাবেজের পাসওয়ার্ড ও এপিআই কি ফাঁস এবং সাইট অচল হয়ে পড়ার আশঙ্কা রয়েছে।

সমাধান কী

অবিলম্বে পিএইচপি রানটাইম হালনাগাদ করতে বলেছে সার্ট। সুরক্ষিত সংস্করণগুলো হলো ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ ও ৮.২.৩৫। শুধু ফ্রেমওয়ার্ক বা অ্যাপ্লিকেশন নয়, সার্ভারের মূল রানটাইম হালনাগাদ হয়েছে কি না, তা যাচাই করার তাগিদ দেওয়া হয়েছে।

যাঁরা এখনই প্যাচ দিতে পারছেন না, তাঁদের সাময়িকভাবে সার্ভার ভিপিএনের আড়ালে রাখা, কেবল নির্দিষ্ট আইপি ঠিকানাকে প্রবেশাধিকার দেওয়া এবং লগ নজরদারি বাড়ানোর পরামর্শ দেওয়া হয়েছে। তবে সংস্থাটির মতে, স্থায়ী সমাধান একটাই—রানটাইম হালনাগাদ করা।