বিশ্বজুড়ে সাইবার হামলার শঙ্কা, বাংলাদেশেও জরুরি সতর্কতা

জনপ্রিয় পিএইচপি (PHP) প্রোগ্রামিং প্রযুক্তিতে দুটি অত্যন্ত গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হওয়ার পর বিশ্বজুড়ে তীব্র সাইবার হামলার আতঙ্ক ছড়িয়ে পড়েছে। ক্ষতিকর এই দুটি নিরাপত্তা ত্রুটির সুযোগ নিয়ে সাইবার অপরাধীরা ব্যবহারকারীর কোনো প্রকার পরিচয় যাচাই (Authentication) ছাড়াই দূর থেকে বা রিমোটলি সার্ভারে ক্ষতিকর কোড চালাতে পারে। এর ফলে সার্ভারের পূর্ণ নিয়ন্ত্রণ ছিনতাই, স্পর্শকাতর তথ্য চুরি এবং গুরুত্বপূর্ণ ওয়েবসাইটের কার্যক্রম সম্পূর্ণ স্তব্ধ বা ব্যাহত হওয়ার মারাত্মক ঝুঁকি তৈরি হয়েছে। উদ্ভূত সংকট ও ঝুঁকি এড়াতে আন্তর্জাতিকপর্যায়ে বিভিন্ন দেশের সরকারি সংস্থা ও বাণিজ্যিক প্রতিষ্ঠান তাদের ওয়েবসাইট সাময়িক সময়ের জন্য বন্ধ রাখার পদক্ষেপ নিয়েছে। ‘পিএইচপি২শেল’ (PHP2Shell) নামে পরিচিতি পাওয়া এই মারাত্মক ঝুঁকি মোকাবিলায় বাংলাদেশেও বিজিডি ই-গভ সার্ট (BGD e-GOV CIRT) বিশেষ নিরাপত্তা সতর্কতা জারি করেছে।

বৃহস্পতিবার (২২ অক্টোবর) প্রকাশিত এক জরুরি নিরাপত্তা বিজ্ঞপ্তিতে সাইবার নিরাপত্তায় নিয়োজিত সরকারি সংস্থা বিজিডি ই-গভ সার্ট জানায়, সম্প্রতি আবিষ্কৃত ‘সিভিই-২০২৬-১০৯৬১৮’ (CVE-2026-109618) এবং ‘সিভিই-২০২৬-১০৯৬১৯’ (CVE-2026-109619) নম্বরের দুটি ক্রুটি অত্যন্ত সংবেদনশীল। এসব ত্রুটির কারণে অরক্ষিত সার্ভারগুলোতে দূর থেকে অনায়াসে ক্ষতিকর কোড এক্সিকিউট করা সম্ভব হতে পারে। পরিস্থিতি নিয়ন্ত্রণে আনতে সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে অবিলম্বে তাদের সার্ভারে কোথায় কোথায় পিএইচপি ব্যবহৃত হচ্ছে, তার একটি পূর্ণাঙ্গ তালিকা প্রস্তুতের নির্দেশ দেওয়া হয়েছে। পাশাপাশি বর্তমানে ব্যবহৃত সংস্করণগুলো এসব ত্রুটির কারণে ঝুঁকিপূর্ণ কি না, তা দ্রুত যাচাই করে প্রয়োজনীয় প্রতিরক্ষামূলক পদক্ষেপ নেওয়ার আহ্বান জানানো হয়েছে।

বিজিডি ই-গভ সার্টের বিশ্লেষণ অনুযায়ী, পিএইচপি-এফপিএম (PHP-FPM), মড-পিএইচপি (mod_php) ব্যবহারকারী অ্যাপাচি (Apache), পিএইচপি-সিজিআই (PHP-CGI), ফ্রাঙ্কেনপিএইচপি (FrankenPHP) এবং লাইটস্পিডভিত্তিক (LiteSpeed) সার্ভারগুলো সবচেয়ে বেশি ঝুঁকির মুখে রয়েছে। এ ছাড়া কনটেইনার, শেয়ারড হোস্টিং এবং পিএইচপি দিয়ে নির্মিত নানা প্রকার ওয়েবসাইটের অ্যাপ্লিকেশনসমূহ নিবিড়ভাবে পরীক্ষা করার পরামর্শ দেওয়া হয়েছে। উল্লেখ্য, পিএইচপি হলো অনলাইন সার্ভিস পরিচালনায় ব্যবহৃত বিশ্বব্যাপী অন্যতম প্রধান ওয়েব প্রোগ্রামিং প্রযুক্তি। সরকারি ওয়েব পোর্টাল, অনলাইন নাগরিক সেবা, প্রশাসনিক কাজের সফটওয়্যার ও ই-কমার্স প্ল্যাটফর্মসহ বিভিন্ন ডিজিটাল সেবায় এই প্রযুক্তির অবাধ ব্যবহার রয়েছে। ফলে কোনো সার্ভারে এই ত্রুটি থেকে গেলে প্রতিষ্ঠানের গোপনীয় তথ্য চুরি বা সেবার কার্যক্রম পুরোপুরি বন্ধ হয়ে যেতে পারে।

আন্তর্জাতিক সাইবার নিরাপত্তা সংস্থাগুলোও এই দুটি ত্রুটিকে অত্যন্ত ঝুঁকিপূর্ণ বলে চিহ্নিত করেছে। যুক্তরাজ্যের ন্যাশনাল হেলথ সার্ভিস (NHS)-এর ডিজিটাল নিরাপত্তা বিভাগ তাদের মূল্যায়নে জানায়, হামলাকারীরা এই ত্রুটির ফায়দা তুলে কোনো ধরনের ইউজারCredentials বা পরিচয় যাচাই ছাড়াই দূর থেকে কোড চালাতে পারে এবং সংবেদনশীল ডাটাবেজে প্রবেশাধিকার পেয়ে যেতে পারে। ভবিষ্যতে এই ত্রুটি ব্যবহার করে বড় ধরনের বিশ্বব্যাপী সাইবার হামলার আশঙ্কাকে তারা 'উচ্চ ঝুঁকি' (High Risk) হিসেবে শ্রেণিবদ্ধ করেছে।

বাংলাদেশে সরকারি ওয়েবসাইটগুলোর ওপর এই সতর্কবার্তার প্রভাব নিয়ে উদ্বেগ তৈরি হয়েছে। তবে সরকারি পোর্টাল তদারকির দায়িত্বে থাকা অ্যাসপায়ার টু ইনোভেট (এটুআই) প্রকল্পের কর্মকর্তারা নিশ্চিত করেছেন যে, তাঁদের পরিচালিত ‘ন্যাশনাল পোর্টাল’ ব্যবস্থার ওয়েবসাইটগুলো পিএইচপিতে তৈরি নয়। ফলে এসব সরকারি ওয়েবসাইট সরাসরি এই নিরাপত্তাহীনতার শিকার হবে না। তবে ন্যাশনাল পোর্টালের বাইরে থাকা অসংখ্য সরকারি দপ্তর ও বেসরকারি ই-কমার্স বা প্রাতিষ্ঠানিক ওয়েবসাইট পিএইচপি ব্যবহারে তৈরি হয়ে থাকতে পারে, যা বড় ধরনের ঝুঁকির মধ্যে রয়েছে।

ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিক বিভাগের সহযোগী অধ্যাপক ও বিশেষজ্ঞ তানভীর হাসান জোহা জানান, বাংলাদেশের সরকারি ওয়েবসাইটগুলোর আনুমানিক ৬০ থেকে ৮৫ শতাংশেই পিএইচপি প্রযুক্তির ব্যবহার থাকতে পারে (যদিও এটি কোনো আনুষ্ঠানিকভাবে যাচাইকৃত পরিসংখ্যান নয়)। তিনি জোর দিয়ে বলেন, ইন্টারনেটে সরাসরি কানেক্টেড বা এক্সপোজড সার্ভারগুলোকে অগ্রাধিকার ভিত্তিতে চিহ্নিত করতে হবে।

তানভীর হাসান জোহা পরামর্শ দেন, যেসব সার্ভার দ্রুত আপডেট করা সম্ভব নয়, সেগুলোতে সাময়িকভাবে ওয়েবাসাইট অ্যাপ্লিকেশন ফায়ারওয়াল (WAF) ব্যবহার করে নেটওয়ার্ক অ্যাক্সেস সীমিত করতে হবে। প্রয়োজনে সাময়িকভাবে সার্ভারগুলোকে ইন্টারনেট সংযোগ থেকে বিচ্ছিন্ন করার মতো কঠোর পদক্ষেপও বিবেচনা করা যেতে পারে। একই সঙ্গে গত কয়েকদিনের সার্ভার লগ ফাইল বিশ্লেষণ করে সন্দেহজনক বা অস্বাভাবিক রিকোয়েস্ট এসেছে কি না, তা দ্রুত খতিয়ে দেখতে হবে। তিনি বিজিডি ই-গভ সার্টকে সুনির্দিষ্ট সময়সীমা নির্ধারণ করে একটি সমন্বিত গাইডলাইন বা নির্দেশনা জারি করার প্রস্তাব জানান।

ঝুঁকি কমাতে বিজিডি ই-গভ সার্ট অবিলম্বে সব প্রতিষ্ঠানকে তাদের পিএইচপি রানটাইম (PHP Runtime) হালনাগাদ বা প্যাচ করার নির্দেশ দিয়েছে। সংস্থাটি স্পষ্ট করে জানিয়ে দিয়েছে—কেবল কোনো ওয়েবসাইটের অ্যাপ্লিকেশন বা ফ্রেমওয়ার্ক আপডেট করলেই ব্যাকএন্ডে থাকা পিএইচপি রানটাইম নিজে থেকে আপডেট হয় না। তাই সার্ভারে মূল পিএইচপি ইঞ্জিনটি নিরাপত্তা সমাধানযুক্ত সংস্করণে উন্নীত হয়েছে কি না, তা কারিগরিভাবে নিশ্চিত করতে হবে। এ ছাড়া, সফটওয়্যার আপডেট করার আগেই সিস্টেমে ইতোমধ্যে কোনো হ্যাকার ঢুকে পড়েছে কি না বা ক্ষতিকর ব্যাকডোর রেখে গেছে কি না, তা যাচাই করতে গভীর সিকিউরিটি অডিট পরিচালনা করা জরুরি।