ছবি সংগৃহীত
ওয়েবসাইট তৈরি ও পরিচালনায় বহুল ব্যবহৃত প্রোগ্রামিং প্রযুক্তি পিএইচপিতে দুটি গুরুতর নিরাপত্তাত্রুটি শনাক্ত হয়েছে। এসব ত্রুটির সুযোগ নিয়ে ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে সাইবার হামলাকারীরা। এ ঝুঁকির পরিপ্রেক্ষিতে বিশ্বের বিভিন্ন সরকারি সংস্থা ও বাণিজ্যিক প্রতিষ্ঠান তাদের ওয়েবসাইট সাময়িকভাবে বন্ধ রেখেছে। ‘পিএইচপি২শেল’ (PHP2Shell) নামে পরিচিত এই ঝুঁকি মোকাবিলায় বাংলাদেশেও সতর্কতা জারি করেছে সরকারের সাইবার নিরাপত্তাবিষয়ক দায়িত্বপ্রাপ্ত সংস্থা বিজিডি ই-গভ সার্ট।
বৃহস্পতিবার (২২ অক্টোবর) প্রকাশিত এক নিরাপত্তা বিজ্ঞপ্তিতে সংস্থাটি সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে তাদের সার্ভারে কোথায় কোথায় পিএইচপি ব্যবহৃত হচ্ছে, তার তালিকা তৈরি করার পরামর্শ দিয়েছে। পাশাপাশি ব্যবহৃত পিএইচপির সংস্করণগুলো নিরাপত্তাত্রুটির কারণে ঝুঁকিতে রয়েছে কি না, তা যাচাই করতে বলা হয়েছে।
বিজ্ঞপ্তিতে সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯ নম্বরের দুটি নিরাপত্তাত্রুটির কথা উল্লেখ করা হয়েছে। ত্রুটি দুটি কাজে লাগিয়ে আক্রমণকারীরা ঝুঁকিপূর্ণ সার্ভারে দূর থেকে কোড চালাতে পারে। এতে সার্ভারের নিয়ন্ত্রণ নেওয়া, তথ্য চুরি এবং ওয়েবসাইটের কার্যক্রম ব্যাহত হওয়ার আশঙ্কা রয়েছে।
ঝুঁকিতে যেসব সার্ভার
বিজিডি ই-গভ সার্টের বিজ্ঞপ্তি অনুযায়ী, পিএইচপি-এফপিএম, মড-পিএইচপি ব্যবহারকারী অ্যাপাচি, পিএইচপি-সিজিআই, ফ্রাঙ্কেনপিএইচপি ও লাইটস্পিডভিত্তিক সার্ভার এ ঝুঁকির মুখে থাকতে পারে। এ ছাড়া কনটেইনার, শেয়ারড হোস্টিং এবং পিএইচপি দিয়ে তৈরি বিভিন্ন ওয়েব অ্যাপ্লিকেশনও পরীক্ষা করে দেখার পরামর্শ দেওয়া হয়েছে।
পিএইচপি ওয়েবসাইটের বিভিন্ন কার্যক্রম পরিচালনায় ব্যবহৃত একটি প্রোগ্রামিং প্রযুক্তি। সরকারি ওয়েব পোর্টাল, অনলাইন সেবা, প্রশাসনিক ব্যবস্থা ও ই-কমার্স প্ল্যাটফর্মসহ বিভিন্ন ক্ষেত্রে এ প্রযুক্তি ব্যবহৃত হয়। ফলে কোনো সার্ভারে নিরাপত্তাত্রুটি থাকলে সংশ্লিষ্ট ওয়েবসাইটের তথ্য ও কার্যক্রমের নিরাপত্তা বিঘ্নিত হতে পারে।
যুক্তরাজ্যের ন্যাশনাল হেলথ সার্ভিসের ডিজিটাল নিরাপত্তা বিভাগও ত্রুটি দুটির ঝুঁকি সম্পর্কে সতর্ক করেছে। তাদের তথ্য অনুযায়ী, এসব ত্রুটি কাজে লাগিয়ে পরিচয় যাচাই ছাড়াই দূর থেকে কোড চালানো বা সংবেদনশীল তথ্য পাওয়ার সুযোগ তৈরি হতে পারে। ভবিষ্যতে ত্রুটি দুটির অপব্যবহারের আশঙ্কাকে তারা উচ্চ ঝুঁকি হিসেবে বিবেচনা করেছে।
বাংলাদেশের সরকারি ওয়েবসাইট নিয়ে উদ্বেগ
বাংলাদেশে সরকারি ওয়েবসাইট তৈরি ও তত্ত্বাবধানের সঙ্গে যুক্ত অ্যাসপায়ার টু ইনোভেট (এটুআই) প্রকল্পের কর্মকর্তারা জানিয়েছেন, তাদের পরিচালিত ন্যাশনাল পোর্টাল ব্যবস্থার ওয়েবসাইটগুলো পিএইচপি দিয়ে তৈরি নয়। ফলে পিএইচপির এই নিরাপত্তাত্রুটির কারণে ওই ওয়েবসাইটগুলো সরাসরি ঝুঁকিতে পড়ার কথা নয়।
তবে ন্যাশনাল পোর্টাল ব্যবস্থার বাইরে বিভিন্ন সরকারি প্রতিষ্ঠান ও দপ্তরের ওয়েবসাইট রয়েছে, যেগুলো পিএইচপি দিয়ে তৈরি হতে পারে। এসব ওয়েবসাইট ঝুঁকিতে থাকতে পারে বলে মনে করছেন সংশ্লিষ্টরা। বেসরকারি খাতেও ওয়েবসাইট ও ওয়েবভিত্তিক অ্যাপ্লিকেশন তৈরিতে পিএইচপি ব্যবহৃত হয়। ফলে সরকারি ন্যাশনাল পোর্টাল ব্যবস্থার বাইরে থাকা বিভিন্ন প্রতিষ্ঠান ও অনলাইন সেবায় এ নিরাপত্তাত্রুটির প্রভাব পড়ার আশঙ্কা রয়েছে।
বাংলাদেশে কতটি সরকারি ওয়েবসাইট বা সার্ভারে পিএইচপি ব্যবহৃত হয়, তার নির্দিষ্ট কোনো হিসাব পাওয়া যায়নি। তবে পিএইচপির বৈশ্বিক ব্যবহার এবং সরকারি অনলাইন সেবায় এ প্রযুক্তির ব্যবহার বিবেচনায় নিয়ে ঝুঁকিপূর্ণ সার্ভার দ্রুত শনাক্ত করার প্রয়োজনীয়তার কথা বলেছেন সাইবার নিরাপত্তা বিশেষজ্ঞ তানভীর হাসান জোহা।
ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিক বিভাগের সহযোগী অধ্যাপক তানভীর হাসান জোহা বৃহস্পতিবার বলেন, বাংলাদেশের সরকারি ওয়েবসাইটের মধ্যে পিএইচপি ব্যবহারকারী সাইটের হার ৬০ থেকে ৮৫ শতাংশ হতে পারে বলে তাঁর ধারণা। তবে এটি যাচাইকৃত পরিসংখ্যান নয়।
তিনি সরকারি সার্ভারগুলোতে ব্যবহৃত পিএইচপির সংস্করণগুলোর তালিকা তৈরির ওপর গুরুত্ব দিয়েছেন। বিশেষ করে ইন্টারনেটে সরাসরি উন্মুক্ত সার্ভারগুলো আগে শনাক্ত করে সেগুলোর নিরাপত্তা নিশ্চিত করার পরামর্শ দিয়েছেন তিনি।
তানভীর হাসান জোহা বলেন, সংশ্লিষ্ট সার্ভারগুলোকে দ্রুত নিরাপত্তা সমাধান যুক্ত পিএইচপি সংস্করণে হালনাগাদ করতে হবে। যেসব সার্ভারে দ্রুত হালনাগাদ করা সম্ভব নয়, সেগুলোর ক্ষেত্রে সাময়িকভাবে ফায়ারওয়াল ব্যবহার করে প্রবেশ নিয়ন্ত্রণ এবং প্রয়োজনে ইন্টারনেট থেকে বিচ্ছিন্ন রাখার ব্যবস্থা বিবেচনা করতে হবে।
পাশাপাশি সাম্প্রতিক কয়েক দিনের সার্ভার লগ পরীক্ষা করে অস্বাভাবিক অনুরোধ বা সন্দেহজনক কার্যক্রম খুঁজে দেখাও জরুরি বলে মনে করেন তিনি।
বিজিডি ই-গভ সার্টের পক্ষ থেকে সময়সীমা নির্ধারণ করে সমন্বিত নির্দেশনা দেওয়ার প্রস্তাবও দিয়েছেন এই বিশেষজ্ঞ। তাঁর মতে, সাইবার নিরাপত্তা নিশ্চিত করতে আইন ও নীতিমালার পাশাপাশি প্রযুক্তিগত অবকাঠামো হালনাগাদ রাখা এবং দ্রুত সাড়া দেওয়ার সক্ষমতা গড়ে তোলা প্রয়োজন।
দ্রুত হালনাগাদের পরামর্শ
নিরাপত্তাত্রুটি সমাধানে সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে দ্রুত পিএইচপি রানটাইম হালনাগাদ করার পরামর্শ দিয়েছে বিজিডি ই-গভ সার্ট। সংস্থাটির বিজ্ঞপ্তিতে বলা হয়েছে, অ্যাপ্লিকেশন বা ফ্রেমওয়ার্ক হালনাগাদ করলেই এর পেছনে ব্যবহৃত পিএইচপি রানটাইম হালনাগাদ হয় না। তাই সার্ভারে ওয়েব অনুরোধ পরিচালনাকারী প্রকৃত পিএইচপি সংস্করণে নিরাপত্তা সমাধান যুক্ত হয়েছে কি না, তা নিশ্চিত করতে হবে।
হালনাগাদ করার আগপর্যন্ত কনফিগারেশন পরিবর্তন ও নেটওয়ার্কে প্রবেশ সীমিত করে ঝুঁকি কমানো সম্ভব। তবে এসব ব্যবস্থা স্থায়ী সমাধান নয়। নিরাপত্তাত্রুটি প্রকাশের আগেই কোনো সার্ভারে অনুপ্রবেশ ঘটেছে কি না, তা যাচাই করাও গুরুত্বপূর্ণ।
কারণ, সফটওয়্যার হালনাগাদ করলেই আগে থেকে ঘটে যাওয়া অনুপ্রবেশ বা ক্ষতিকর পরিবর্তন স্বয়ংক্রিয়ভাবে দূর হয় না। তাই ঝুঁকিপূর্ণ সার্ভার শনাক্ত করা, নিরাপত্তা সমাধান যুক্ত সংস্করণে হালনাগাদ করা এবং সন্দেহজনক কার্যক্রম পরীক্ষা করার ওপর গুরুত্ব দিয়েছে বিজিডি ই-গভ সার্ট।
আরও পড়ুন:
