পিএইচপিতে দুটি গুরুতর ত্রুটি—সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯, যেগুলোর ডাকনাম পিএইচপি২শেল—আক্রমণকারীকে পাসওয়ার্ড বা বৈধ অ্যাকাউন্ট ছাড়াই ওয়েব সার্ভারে নিজের কোড চালানোর সুযোগ দেয়। দুটিরই মাত্রা ১০-এর মধ্যে ৯.২। জরুরি সমাধান প্রকাশিত হয়েছে ২১ অক্টোবর।
যে চারটি সংখ্যা জরুরি
আক্রান্ত: পিএইচপি ৫.৪ থেকে ৮.৫.১১ পর্যন্ত—অর্থাৎ কার্যত সবাই যে সংস্করণগুলো চালান, প্রায় সবই।
সমাধান: ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ ও ৮.২.৩৫। আপনার শাখার জন্য নির্ধারিত সংখ্যাটির চেয়ে কম হলে আপনি ঝুঁকিতে।
পরিসর: আলজাজিরার বরাতে প্রথম আলো বলছে, বিশ্বের প্রায় ৭০ শতাংশ ওয়েবসাইট চলে পিএইচপিতে। সারের সেন্টার ফর সাইবার সিকিউরিটির অধ্যাপক অ্যালান উডওয়ার্ড বিবিসি রেডিও ফোরকে বলেছেন, ত্রুটিটি প্রভাবিত করছে প্রায় ৩ কোটি ওয়েবসাইট।
বিকল্প প্রতিকার: পূর্ণাঙ্গ কিছু নেই। রক্ষণাবেক্ষণকারীরা বলছেন, নিরাপদ পথ কেবল হালনাগাদ।
আক্রমণকারী কী পায়
উডওয়ার্ড সরাসরিই বলেছেন, ‘আক্রমণকারী ওয়েব সার্ভারে নিজের কোড বসিয়ে চালাতে পারে, আর মোটামুটি যা খুশি করতে পারে।’ অর্থাৎ ডেটাবেজ পড়া, তথ্য নিয়ে যাওয়া, একই নেটওয়ার্কের অন্য যন্ত্রে ছড়িয়ে পড়া, কিংবা পরে ফেরার জন্য একটি গোপন দরজা রেখে যাওয়া।
মেলবোর্ন বিশ্ববিদ্যালয়ের এআই ও সাইবার নিরাপত্তার শিক্ষক অ্যান্ড্রু কালেন কাঠামোগত সমস্যাটি ধরিয়ে দিয়েছেন: অসংখ্য ব্যবস্থা নির্ভর করে একটিমাত্র মৌলিক সফটওয়্যারের ওপর, আর ত্রুটিটি ঠিক ওই স্তরেই। ক্লাউড নিরাপত্তা প্রতিষ্ঠান উইজ বলছে, দুর্বলতাগুলো পিএইচপির কোডে ছিল এক দশকেরও বেশি সময় ধরে।
কাদের ব্যবস্থা নিতে হবে
যাঁদের সার্ভার ওয়েব অনুরোধের জবাবে পিএইচপি চালায়, সবাইকে। এর মধ্যে আছে মড-পিএইচপিসহ অ্যাপাচি, পিএইচপি-এফপিএম, পিএইচপি-সিজিআই, ফ্রাঙ্কেনপিএইচপি আর লাইটস্পিড—শেষেরটিতেই চলে বাংলাদেশের বেশির ভাগ সি-প্যানেল শেয়ার্ড হোস্টিং।
প্ল্যাটফর্মের হিসাবে এর মানে ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা, লারাভেল, কোডইগনাইটার, ম্যাজেন্টো, প্রায় প্রতিটি সি-প্যানেল সাইট, দেশের বেশির ভাগ সংবাদ পোর্টাল, ই-কমার্স সাইট ও সরকারি পাতা—আর ছোট এজেন্সিগুলো এখানে যত কাস্টম পিএইচপি বানিয়ে বুঝিয়ে দিয়েছে, তার বড় অংশ।
যে যাচাইয়ে বেশির ভাগ মানুষ ভুল করেন
অপারেটিং সিস্টেমের প্যাকেজ ম্যানেজার থেকে পিএইচপি এলে সমাধান প্রয়োগের পরও সংস্করণ নম্বর না-ও বদলাতে পারে। ডিস্ট্রিবিউশনগুলো নিয়মিতই নিরাপত্তা প্যাচ পুরোনো সংস্করণেই বসিয়ে দেয়। তাই php -v চালিয়ে ৮.২.২৮ দেখলেই বোঝা যায় না আপনি সুরক্ষিত কি না।
নির্ভরযোগ্য পরীক্ষা প্যাকেজের চেঞ্জলগ: ইনস্টল করা প্যাকেজের বিপরীতে সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯ উল্লেখ আছে কি না দেখুন। শেয়ার্ড হোস্টিংয়ে এটি নিজে করা যায় না—হোস্টিং প্রতিষ্ঠানকে ঠিক এই ভাষায় জিজ্ঞাসা করতে হবে।
বাংলাদেশের জন্য গুরুত্বের জায়গা
প্রথম আলোর উদ্ধৃত বাংলাদেশি সফটওয়্যার প্রকৌশলী ও প্রযুক্তি উদ্যোক্তা সুমিত সাহা দুর্বলতাটি চিহ্নিত করেছেন পিএইচপির মেমোরি ব্যবস্থাপনায়—বিশেষ করে মেমোরি ফুরিয়ে যাওয়ার মতো গুরুতর ত্রুটি সামলানোর সময়, যাতে সার্ভারের অভ্যন্তরীণ মেমোরি উন্মুক্ত হয়ে পড়তে পারে কিংবা ক্ষতিকর কোড চলতে পারে।
স্থানীয় চিত্র নিয়ে তাঁর সতর্কবার্তাটিই বারবার বলার মতো। পিএইচপি নিজে আধুনিক ও নিরাপদ ভাষা; সাইট অরক্ষিত হয় পুরোনো সংস্করণ চললে কিংবা সার্ভারের বিন্যাস এলোমেলো থাকলে। বাংলাদেশের বহু ওয়েবসাইট পিএইচপিতে বানানো, আর সেগুলোর কোড ও প্যাচ প্রায়ই সময়মতো হালনাগাদ হয় না। বৈশ্বিক একটি সতর্কবার্তা এভাবেই স্থানীয় দুর্ঘটনায় পরিণত হয়।
কোথায় কোথায় চলে, একবার মিলিয়ে নিন
পিএইচপি কেবল ওয়েবসাইটের ভেতরেই থাকে না। অনেক প্রতিষ্ঠানে এটি চলে পুরোনো অভ্যন্তরীণ সরঞ্জামে—ছুটির আবেদনের ব্যবস্থা, হাজিরার রিপোর্ট, ইনভেন্টরির পাতা—যেগুলো বছরের পর বছর কেউ ছোঁয়নি অথচ সার্ভারে চালু আছে। ইন্টারনেট থেকে ওগুলোতে ঢোকা গেলে সেগুলোও একই ঝুঁকিতে।
তাই তালিকাটি বানানোর সময় কেবল মূল সাইট নয়, সাবডোমেইন, স্টেজিং কপি, পুরোনো ওয়ার্ডপ্রেস ইনস্টল আর যেকোনো কাস্টম টুল—সব ধরুন। আক্রমণকারী আপনার সাংগঠনিক কাঠামো জানে না; সে কেবল জানে কোন ঠিকানায় পিএইচপি সাড়া দিচ্ছে।
আর একটি কথা দলের ভেতরে স্পষ্ট করে রাখা দরকার: প্যাচ দেওয়ার পর সার্ভার বা অন্তত পিএইচপি-এফপিএম পুনরায় চালু করতে হয়। নইলে পুরোনো প্রসেসটি চলতেই থাকে, আর সংস্করণ নম্বর বদলালেও বাস্তবে সুরক্ষা আসে না।
সম্পর্কিত: সাইবার স্পেসে জাপানের জরুরি অবস্থা।
