জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপি-তে দুটি অত্যন্ত ঝুঁকিপূর্ণ নিরাপত্তা ত্রুটি শনাক্ত হয়েছে, যাকে একত্রে ‘পিএইচপি২শেল’ বলা হচ্ছে। এ বিষয়ে আজ উচ্চ সতর্কতা জারি করেছে বাংলাদেশ সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম বিজিডি ই-গভ সার্ট।
সংস্থাটি জানায়, ত্রুটি দুটির সিভিই আইডি হলো সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯। এর সিভিএসএস স্কোর ৯.২, যা সর্বোচ্চ ঝুঁকিপূর্ণ হিসেবে ধরা হয়। এই ত্রুটি ব্যবহার করে কোনও হ্যাকার কোনও ইউজারনেম বা পাসওয়ার্ড ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে।
সার্টের পরামর্শ অনুযায়ী, সমস্যাটি পিএইচপি’র মেমোরি ব্যবস্থাপনায়। মেমোরি শেষ হয়ে গেলে বা মেমোরি মুক্ত হওয়ার পরও পুরোনো রিকোয়েস্টের ডেটা থেকে যাওয়ার সুযোগে আক্রমণকারী বিশেষভাবে তৈরি এইচটিটিপি রিকোয়েস্ট পাঠিয়ে সার্ভারের নিয়ন্ত্রণ নিয়ে নিতে পারে।
এতে সবচেয়ে বেশি ঝুঁকিতে রয়েছে পিএইচপি-এফপিএম এবং অ্যাপাচির মড_পিএইচপি ব্যবহারকারীরা। এছাড়া পিএইচপি-সিজিআই, ফ্র্যাঙ্কেনপিএইচপি, লাইটস্পিড, ডকার কন্টেইনার এবং শেয়ার্ড হোস্টিংয়ে চলা সরকারি পোর্টাল, ব্যাংক, ই-কমার্স, ওয়ার্ডপ্রেস ও লারাভেল ভিত্তিক সব ওয়েবসাইটই ঝুঁকির মুখে রয়েছে।
সতর্কতায় বলা হয়, সফল আক্রমণ হলে পুরো সার্ভারের দখল চলে যাওয়া, ডেটা ও ফাইল চুরি, ডাটাবেসের পাসওয়ার্ড ও এপিআই কি ফাঁস এবং ওয়েবসাইট অচল হয়ে যাওয়ার মতো বড় ক্ষতি হতে পারে।
সমাধান হিসেবে অবিলম্বে পিএইচপি হালনাগাদ করতে বলেছে সার্ট। নিরাপদ সংস্করণগুলো হলো- ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ এবং ৮.২.৩৫। শুধু ফ্রেমওয়ার্ক নয়, সার্ভারের মূল পিএইচপি রানটাইম হালনাগাদ হয়েছে কি না তা নিশ্চিত করতে বলা হয়েছে।
সতর্কবার্তায় বলা হয়, যারা এখনই প্যাচ দিতে পারবেন না, তাদের জন্য সাময়িকভাবে সার্ভার ভিপিএন এর পেছনে রাখা, আইপিভিত্তিক অনুমোদন তালিকা করা এবং লগ পর্যবেক্ষণ বাড়ানোর পরামর্শ দেওয়া হয়েছে।
তবে সার্ট স্পষ্ট জানিয়েছে, হালনাগাদ করাই একমাত্র স্থায়ী সমাধান।
