ওয়েবসাইট তৈরিতে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপির মূল কাঠামোয় দুটি গুরুতর নিরাপত্তাত্রুটি ধরা পড়েছে। এগুলো কাজে লাগিয়ে কোনো লগইন বা অনুমতি ছাড়াই দূর থেকে আক্রান্ত সার্ভারে নিজের কোড চালাতে পারে হামলাকারী। বুধবার (২১ অক্টোবর) পিএইচপি কর্তৃপক্ষ সংশোধিত সংস্করণ প্রকাশ করে সব ব্যবহারকারীকে অবিলম্বে হালনাগাদের আহ্বান জানিয়েছে।
বিবিসির বরাত দিয়ে দৈনিক আমার দেশ জানিয়েছে, যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ), যুক্তরাজ্যের জাতীয় সাইবার নিরাপত্তা কেন্দ্রসহ বিভিন্ন দেশের সংস্থা সতর্কবার্তা দিয়েছে। হালনাগাদ করা না গেলে সাময়িকভাবে সাইট বন্ধ রাখার পরামর্শও এসেছে। সতর্কতা হিসেবে উইকিপিডিয়া পরিচালনাকারী উইকিমিডিয়া কয়েকটি সিস্টেম বন্ধ রেখেছে।
ত্রুটি দুটি কী
পিএইচপির আনুষ্ঠানিক নিরাপত্তা বার্তা ও যুক্তরাষ্ট্রের জাতীয় দুর্বলতা তথ্যভান্ডার (এনভিডি) অনুযায়ী, ত্রুটি দুটির শনাক্তকরণ নম্বর CVE-2026-109618 ও CVE-2026-109619। দুটিরই তীব্রতা স্কোর CVSS 4.0 মানদণ্ডে ১০-এর মধ্যে ৯.২, অর্থাৎ ‘সংকটজনক’ শ্রেণির।
প্রথম ত্রুটিতে মেমোরি ফুরিয়ে যাওয়ার মুহূর্তে একটি অনুরোধের অভ্যন্তরীণ তথ্য অর্ধেক প্রস্তুত অবস্থায় থেকে যায়, অথচ পরে সেটিকেই বৈধ ধরে নেওয়া হয়। দ্বিতীয়টিতে আগের অনুরোধের মুক্ত করে দেওয়া মেমোরির সঙ্গে যুক্ত পুরোনো তথ্য পরের অনুরোধে ব্যবহৃত হয়ে যায়। পিএইচপি জানিয়েছে, ওয়েব অনুরোধ সামলানো সব ধরনের স্থাপনা, যেমন PHP-FPM, অ্যাপাচির mod_php, php-cgi, FrankenPHP ও LiteSpeed ঝুঁকিতে আছে। mod_php-তে ঝুঁকি সবচেয়ে বেশি, কারণ সেখানে ওয়েবসাইটের নিজস্ব কোড চালু হওয়ার আগেই হামলা ঘটানো সম্ভব হয়েছে।
ত্রুটিগুলো খুঁজে পান সাইবার নিরাপত্তা প্রতিষ্ঠান উইজের গবেষকেরা, যাঁরা এর নাম দিয়েছেন ‘PHP2Shell’। উইজের ভাষ্য, কৃত্রিম বুদ্ধিমত্তার সহায়তায় আগস্টে ত্রুটি শনাক্তের পর ২৪ আগস্ট পিএইচপিকে জানানো হয়; ওপেনএআই ও ক্যালিফও এ কাজে যুক্ত ছিল। উইজ মাঠপর্যায়ে হামলার কোনো তথ্য দেয়নি। তবে আমার দেশের প্রতিবেদনে বলা হয়েছে, ত্রুটি প্রকাশের কয়েক দিন আগেই অ্যামাজন একাধিক হামলাচেষ্টার লক্ষ্য হয়েছিল। লাখ লাখ ওয়েবসাইট ঝুঁকিতে পড়তে পারে বলে ধারণা দিয়েছেন গরিলা সাইবার সিকিউরিটির প্রধান নির্বাহী পল স্পেন; আক্রান্ত সাইটের সুনির্দিষ্ট কোনো হিসাব অবশ্য প্রকাশ হয়নি।
ওয়েবসাইট পরিচালনাকারীদের করণীয়
- পিএইচপি 8.5.12, 8.4.27, 8.3.36 বা 8.2.35 সংস্করণে হালনাগাদ করুন। পিএইচপির ভাষায়, এটিই একমাত্র পূর্ণাঙ্গ সমাধান।
- লিনাক্স ডিস্ট্রিবিউশন বা দীর্ঘমেয়াদি সহায়তা প্রদানকারীর প্যাকেজ ব্যবহার করলে তাদের হালনাগাদ এসেছে কি না দেখুন; তারা আগেভাগেই সংশোধনী পেয়েছে।
- পিএইচপি 8.1 ও তার আগের সংস্করণ আর হালনাগাদ পায় না। সমর্থিত সংস্করণে যান, নয়তো সরবরাহকারীর কাছে সংশোধনীর খোঁজ নিন।
- তাৎক্ষণিক হালনাগাদ সম্ভব না হলে পিএইচপির পরামর্শমতো session.upload_progress.enabled=0 করে সব ওয়ার্কার নতুন করে চালু করুন এবং post_max_size কম রাখুন। এতে ঝুঁকি কমে, পুরোপুরি দূর হয় না।
- সার্ভারে কেউ গোপন প্রবেশপথ বা ব্যাকডোর রেখে গেছে কি না, তা যাচাই করুন; যুক্তরাজ্যের সাইবার নিরাপত্তা কেন্দ্র এ পরামর্শ দিয়েছে।