বিশ্বের ৭০ শতাংশ ওয়েবসাইট ঝুঁকিতে, পিএইচপির মারাত্মক কোডিং ত্রুটির নেপথ্যে কী?

ইন্টারনেটে কোনো ওয়েবসাইট খুললে আমরা সাধারণত তার নকশা, ছবি, লেখা কিংবা বিভিন্ন সেবা দেখতে পাই। কিন্তু পর্দার আড়ালে এসব ওয়েবসাইট সচল রাখতে কাজ করে অসংখ্য সফটওয়্যার ও কোড। এর কোনো একটি গুরুত্বপূর্ণ স্তরে ত্রুটি থাকলে তার প্রভাব ছড়িয়ে পড়তে পারে একসঙ্গে লাখো বা কোটি ব্যবহারকারীর কাছে।

এমনই এক উদ্বেগজনক পরিস্থিতি তৈরি হয়েছে পিএইচপি (PHP) প্রোগ্রামিং ভাষার দুটি গুরুতর নিরাপত্তা ত্রুটি ঘিরে। বিশ্বের ৭০ শতাংশের বেশি ওয়েবসাইটে এই ভাষার ব্যবহার রয়েছে বলে বিভিন্ন প্রতিবেদনে উল্লেখ করা হয়েছে। ফলে পিএইচপির মূল সফটওয়্যারে বড় ধরনের দুর্বলতা শনাক্ত হওয়ার পর বিশ্বজুড়ে ওয়েবসাইট পরিচালনাকারীদের মধ্যে উদ্বেগ ছড়িয়ে পড়েছে।

‘পিএইচপি২শেল’ (PHP2Shell) নামে পরিচিত এই নিরাপত্তা সমস্যার কারণে পুরোনো ও আক্রান্ত সংস্করণে চলা সার্ভারে দূর থেকেই ক্ষতিকর কোড চালানোর সুযোগ তৈরি হতে পারে। বিশেষ উদ্বেগের বিষয় হলো, নির্দিষ্ট পরিস্থিতিতে আক্রমণ চালাতে হ্যাকারদের বৈধ ব্যবহারকারীর নাম বা পাসওয়ার্ডেরও প্রয়োজন নাও হতে পারে।

২১ অক্টোবর ২০২৬ পিএইচপি প্রকল্পের রক্ষণাবেক্ষণকারীরা ত্রুটি দুটির সমাধানে নিরাপত্তা আপডেট প্রকাশ করেন। একই সময়ে ইউরোপের সাইবার নিরাপত্তা সংস্থা সার্ট-ইইউ (CERT-EU) আক্রান্ত সার্ভার দ্রুত হালনাগাদ করার পরামর্শ দেয়। বাংলাদেশের সরকারি কম্পিউটার ইনসিডেন্ট রেসপন্স টিমও এ বিষয়ে উচ্চমাত্রার সতর্কতা জারি করেছে।

কেন এত গুরুত্বপূর্ণ পিএইচপি?

পিএইচপি একটি বহুল ব্যবহৃত সার্ভার-সাইড প্রোগ্রামিং ভাষা। সহজভাবে বললে, ওয়েবসাইটের যে কাজগুলো ব্যবহারকারীর চোখের আড়ালে সার্ভারে সম্পন্ন হয়, তার অনেক কিছুই পিএইচপির মাধ্যমে পরিচালিত হতে পারে। ব্যবহারকারীর লগইন যাচাই, ডেটাবেজ থেকে তথ্য আনা, অনলাইন ফরমের তথ্য প্রক্রিয়াকরণ কিংবা ওয়েবসাইটে পরিবর্তনশীল কনটেন্ট দেখানোর মতো কাজে ভাষাটি ব্যবহৃত হয়।

বিশ্বের অসংখ্য ব্লগ, সংবাদমাধ্যম, অনলাইন দোকান, সরকারি পোর্টাল ও অন্যান্য ডিজিটাল সেবায় পিএইচপির ব্যবহার রয়েছে। জনপ্রিয় কনটেন্ট ম্যানেজমেন্ট সিস্টেম ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা এবং ম্যাজেন্টার মতো প্ল্যাটফর্মেও এটি গুরুত্বপূর্ণ ভূমিকা পালন করে।

পিএইচপির জনপ্রিয়তার বড় কারণ হলো, এটি দীর্ঘদিন ধরে ব্যবহৃত হচ্ছে এবং ওয়েবসাইট তৈরি ও পরিচালনার জন্য এর সঙ্গে যুক্ত রয়েছে বিশাল সফটওয়্যার অবকাঠামো। অনেক প্রতিষ্ঠান নিজস্ব সার্ভার পরিচালনা করে, আবার অসংখ্য প্রতিষ্ঠান শেয়ারড হোস্টিংয়ের ওপর নির্ভরশীল। ফলে একটি মৌলিক নিরাপত্তা ত্রুটি শুধু একটি ওয়েবসাইটের সমস্যা হয়ে থাকে না; এর প্রভাব পড়তে পারে বহু প্রতিষ্ঠানের ওপর।

তবে এখানে একটি গুরুত্বপূর্ণ পার্থক্য রয়েছে। বিশ্বের ৭০ শতাংশের বেশি ওয়েবসাইটে পিএইচপির ব্যবহার থাকার অর্থ এই নয় যে ওই ৭০ শতাংশ ওয়েবসাইটই নিশ্চিতভাবে আক্রান্ত হয়েছে। বরং পিএইচপির ব্যাপক ব্যবহার এই ত্রুটির সম্ভাব্য প্রভাবের পরিধি অনেক বড় করে তুলেছে। যেসব সার্ভারে আক্রান্ত সংস্করণ চলছে এবং যেগুলো যথাযথভাবে হালনাগাদ করা হয়নি, সেগুলোই মূল ঝুঁকিতে রয়েছে।

ত্রুটি দুটি কোথায়?

নিরাপত্তা গবেষকেরা পিএইচপির মূল সফটওয়্যারে দুটি পৃথক দুর্বলতা শনাক্ত করেছেন। এগুলোর জন্য বরাদ্দ করা হয়েছে CVE-2026-109618 ও CVE-2026-109619 পরিচিতি নম্বর। উভয় ত্রুটির নিরাপত্তাঝুঁকির স্কোর ১০-এর মধ্যে ৯ দশমিক ২, যা সর্বোচ্চ ঝুঁকির শ্রেণি ‘ক্রিটিক্যাল’-এর অন্তর্ভুক্ত।

প্রথম ত্রুটিটি দেখা দেয় সার্ভারের মেমোরি বা স্মৃতিশক্তি ব্যবস্থাপনার একটি বিশেষ পরিস্থিতিতে। কোনো অনুরোধ প্রক্রিয়াকরণের সময় নির্ধারিত মেমোরি সীমা অতিক্রম করলে পিএইচপি সেই কাজ বন্ধ করে দেয়। কিন্তু কিছু পরিস্থিতিতে কাজ বন্ধ হওয়ার মুহূর্তে অনুরোধ-সংক্রান্ত অভ্যন্তরীণ তথ্য পুরোপুরি প্রস্তুত নাও থাকতে পারে। পরে সেই তথ্য পরিষ্কার করার সময় সফটওয়্যার ভুলভাবে মেমোরি ব্যবস্থাপনা করতে পারে। আক্রমণকারী বিশেষভাবে তৈরি করা অনুরোধ পাঠিয়ে এই দুর্বলতার সুযোগ নেওয়ার চেষ্টা করতে পারে।

দ্বিতীয় ত্রুটিটি পিএইচপির অভ্যন্তরীণ তথ্য ব্যবস্থাপনার সঙ্গে সম্পর্কিত। কোনো অনুরোধের কাজ শেষ হওয়ার পর সংশ্লিষ্ট মেমোরি মুক্ত করে দেওয়া হলেও কিছু অভ্যন্তরীণ অবস্থা বা রেফারেন্স থেকে যেতে পারে। পরবর্তী অনুরোধ প্রক্রিয়াকরণের সময় সফটওয়্যার যদি সেই পুরোনো তথ্য ব্যবহার করে, তাহলে অনিরাপদ পরিস্থিতি তৈরি হতে পারে।

সহজ ভাষায়, প্রথম ক্ষেত্রে সফটওয়্যার কোনো কাজের ব্যতিক্রমী পরিস্থিতি সামলাতে গিয়ে মেমোরির ভুল ব্যবস্থাপনা করতে পারে। দ্বিতীয় ক্ষেত্রে আগের কাজের অবশিষ্ট তথ্য পরবর্তী কাজকে প্রভাবিত করতে পারে। দুটিরই পরিণতি হতে পারে সার্ভারে অননুমোদিত কোড চালানোর সুযোগ তৈরি হওয়া।

এ ধরনের ত্রুটি বিপজ্জনক, কারণ আক্রমণ সফল হলে হ্যাকার শুধু ওয়েবসাইটের দৃশ্যমান অংশ বদলানোর সুযোগই পেতে পারে না; সার্ভারে সংরক্ষিত তথ্য, ডেটাবেজের প্রবেশসংক্রান্ত তথ্য কিংবা অন্যান্য গুরুত্বপূর্ণ গোপন তথ্যও ঝুঁকিতে পড়তে পারে। তবে প্রতিটি আক্রান্ত সার্ভারে একই ধরনের ক্ষতি হবে, এমন নিশ্চয়তা নেই। আক্রমণের সফলতা ও পরিণতি নির্ভর করে সার্ভারের বিন্যাস, ব্যবহৃত সংস্করণ এবং অন্যান্য নিরাপত্তাব্যবস্থার ওপর।

কৃত্রিম বুদ্ধিমত্তার সহায়তায় শনাক্ত

এই ঘটনার আরেকটি গুরুত্বপূর্ণ দিক হলো, নিরাপত্তা ত্রুটি শনাক্ত ও বিশ্লেষণে কৃত্রিম বুদ্ধিমত্তার ভূমিকা। সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ (Calif) এবং গুগলের মালিকানাধীন নিরাপত্তা গবেষণা প্রতিষ্ঠান উইজ (Wiz) পৃথকভাবে ত্রুটি দুটি শনাক্ত করে।

ক্যালিফের গবেষকেরা ওপেনএআইয়ের সঙ্গে কাজ করে ১১ আগস্ট প্রথম দুর্বলতার বিষয়ে প্রতিবেদন দেন। উইজের গবেষকেরা ২৪ আগস্ট দ্বিতীয় ত্রুটির বিষয়ে জানান। পরে সংশ্লিষ্ট গবেষক, পিএইচপি রক্ষণাবেক্ষণকারী দল এবং প্রযুক্তি প্রতিষ্ঠানগুলোর মধ্যে সমন্বয়ের মাধ্যমে ত্রুটি যাচাই ও সমাধানের কাজ এগিয়ে নেওয়া হয়।

এই ঘটনা দেখিয়েছে, কৃত্রিম বুদ্ধিমত্তা এখন শুধু সফটওয়্যার লেখা বা সাধারণ কাজ স্বয়ংক্রিয় করার হাতিয়ার নয়। জটিল কোড বিশ্লেষণ, সম্ভাব্য দুর্বলতা শনাক্ত, আক্রমণের পদ্ধতি পরীক্ষা এবং নিরাপত্তা সমাধান যাচাইয়েও এর ব্যবহার বাড়ছে।

তবে কৃত্রিম বুদ্ধিমত্তা কোনো ত্রুটি শনাক্ত করলেই সেটি স্বয়ংক্রিয়ভাবে সমাধান হয়ে যায় না। গবেষকদের ত্রুটিটি যাচাই করতে হয়, সম্ভাব্য ক্ষতির পরিধি বুঝতে হয় এবং এমন সমাধান তৈরি করতে হয়, যা নতুন সমস্যা সৃষ্টি না করে বিদ্যমান দুর্বলতা দূর করতে পারে।

এখানে ঝুঁকির আরেকটি দিকও রয়েছে। নিরাপত্তা গবেষকেরা যে প্রযুক্তি ব্যবহার করে দুর্বলতা খুঁজে বের করতে পারেন, একই ধরনের প্রযুক্তি অপরাধীরাও কাজে লাগানোর চেষ্টা করতে পারে। ফলে দুর্বলতা শনাক্ত হওয়ার পর সমাধান প্রকাশ এবং সার্ভার হালনাগাদের মধ্যবর্তী সময়টি অত্যন্ত গুরুত্বপূর্ণ হয়ে উঠেছে।

কেন বিশ্বজুড়ে সতর্কতা?

পিএইচপির এই ত্রুটির প্রভাব নিয়ে উদ্বেগের কারণ শুধু এর ব্যাপক ব্যবহার নয়, বরং আক্রমণের সম্ভাব্য ধরনও। আক্রান্ত সার্ভারে বিশেষভাবে তৈরি অনুরোধ পাঠিয়ে অননুমোদিতভাবে কোড চালানোর সুযোগ তৈরি হতে পারে। এর মাধ্যমে হ্যাকার সার্ভারের নিয়ন্ত্রণ নেওয়া, তথ্য চুরি, ওয়েবসাইটের কনটেন্ট পরিবর্তন কিংবা সেবা অচল করার চেষ্টা করতে পারে।

যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ) আক্রান্ত সিস্টেম দ্রুত হালনাগাদ করার বিষয়ে সতর্ক করেছে। ইউরোপের বিভিন্ন দেশের সরকারি ও প্রাতিষ্ঠানিক ওয়েবসাইট সাময়িকভাবে বন্ধ রেখে নিরাপত্তা ব্যবস্থা হালনাগাদ করার ঘটনাও সংবাদমাধ্যমে উঠে এসেছে। কোথাও কোথাও সম্ভাব্য ঝুঁকি এড়াতে আগাম সতর্কতামূলক ব্যবস্থা নেওয়া হয়েছে।

তবে ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা মানেই সেটি হ্যাক হয়েছে, এমন নয়। অনেক প্রতিষ্ঠান সম্ভাব্য আক্রমণ ঠেকাতে এবং নিরাপত্তা আপডেট প্রয়োগের সুযোগ তৈরি করতে আগেই ওয়েবসাইটের প্রবেশাধিকার সীমিত করে। একইভাবে কোনো সার্ভারে ত্রুটি থাকা মানেই সেখানে ইতিমধ্যে তথ্য চুরি হয়েছে, এমন সিদ্ধান্তেও পৌঁছানো যায় না।

বাংলাদেশেও কেন উদ্বেগের কারণ রয়েছে?

বাংলাদেশে সংবাদমাধ্যম, ব্যবসাপ্রতিষ্ঠান, শিক্ষাপ্রতিষ্ঠান, সরকারি দপ্তর এবং বিভিন্ন অনলাইন সেবায় ওয়েবসাইটের ব্যবহার বাড়ছে। এসব সেবার কোনোটি যদি আক্রান্ত পিএইচপি সংস্করণে চলে এবং যথাযথ নিরাপত্তা আপডেট না পায়, তাহলে সেটিও ঝুঁকির মুখে পড়তে পারে।

বাংলাদেশের সরকারি কম্পিউটার ইনসিডেন্ট রেসপন্স টিম (BGD e-GOV CIRT) পিএইচপির দুটি দুর্বলতা নিয়ে উচ্চমাত্রার সতর্কতা জারি করেছে। সংস্থাটির সতর্কতার বিষয়ে প্রকাশিত প্রতিবেদনে বলা হয়েছে, আক্রান্ত সার্ভারে অননুমোদিত প্রবেশ ছাড়াই ক্ষতিকর কোড চালানোর সুযোগ তৈরি হতে পারে। এর ফলে সার্ভারের নিয়ন্ত্রণ হারানো, ফাইল ও তথ্য চুরি এবং ওয়েবসাইট অচল হওয়ার আশঙ্কা রয়েছে। <Cite refs={[“turn695317view1”]}/>

বিশেষ করে যেসব প্রতিষ্ঠান নিজস্ব সার্ভার পরিচালনা করে, পুরোনো সফটওয়্যার ব্যবহার করে কিংবা দীর্ঘদিন ধরে ওয়েবসাইটের প্রযুক্তিগত রক্ষণাবেক্ষণ করেনি, তাদের দ্রুত নিজেদের ব্যবস্থা পরীক্ষা করা প্রয়োজন। শেয়ারড হোস্টিং ব্যবহারকারীদেরও জানতে হবে, তাদের হোস্টিং প্রদানকারী সার্ভারের পিএইচপি সংস্করণ হালনাগাদ করেছে কি না।

শুধু ওয়ার্ডপ্রেস, জুমলা বা অন্য কোনো সফটওয়্যার আপডেট করলেই সব ক্ষেত্রে সমস্যার সমাধান হবে না। ওয়েবসাইট যে পিএইচপি রানটাইমে চলছে, সেটিও নিরাপদ সংস্করণে থাকা প্রয়োজন। কারণ ত্রুটিটি ওয়েবসাইট তৈরির কোনো নির্দিষ্ট প্লাগইন বা থিমে নয়, পিএইচপির মূল সফটওয়্যারের স্তরে।

কীভাবে নিরাপদ থাকবেন?

পিএইচপির নিরাপত্তা ত্রুটির সমাধানে সবচেয়ে জরুরি পদক্ষেপ হলো আক্রান্ত সংস্করণ থেকে নিরাপদ সংস্করণে হালনাগাদ করা। ২১ অক্টোবর প্রকাশিত নিরাপত্তা আপডেটে পিএইচপি ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ এবং ৮.২.৩৫ সংস্করণে সংশ্লিষ্ট দুর্বলতাগুলোর সমাধান দেওয়া হয়েছে।

ওয়েবসাইট পরিচালনাকারীদের জন্য করণীয়গুলো হলো:

• পিএইচপি সংস্করণ যাচাই: সার্ভারে বর্তমানে কোন সংস্করণ চলছে, তা জেনে আক্রান্ত সংস্করণ হলে দ্রুত হালনাগাদ করতে হবে।
• হোস্টিং প্রদানকারীর সঙ্গে যোগাযোগ: শেয়ারড হোস্টিং ব্যবহার করলে সার্ভারের মূল পিএইচপি সংস্করণ হালনাগাদ হয়েছে কি না নিশ্চিত হতে হবে।
• পুরোনো সংস্করণ পরিহার: পিএইচপি ৮.১ ও তার আগের সংস্করণগুলো সাধারণভাবে প্রকল্পটির নিয়মিত নিরাপত্তা আপডেট পায় না। এ ক্ষেত্রে সমর্থিত সংস্করণে উন্নীত হওয়া অথবা নির্ভরযোগ্য সরবরাহকারীর নিরাপত্তা সমাধান নিশ্চিত করা প্রয়োজন।
• ব্যাকআপ রাখা: ওয়েবসাইটের ফাইল ও ডেটাবেজের নিরাপদ ব্যাকআপ রাখতে হবে, যাতে কোনো আক্রমণ বা ত্রুটির কারণে তথ্য নষ্ট হলে তা পুনরুদ্ধার করা যায়।
• লগ ও অস্বাভাবিক কার্যক্রম পর্যবেক্ষণ: সন্দেহজনক অনুরোধ, অস্বাভাবিক সার্ভার কার্যক্রম, অপরিচিত ফাইল বা অননুমোদিত পরিবর্তন দেখা যাচ্ছে কি না পরীক্ষা করতে হবে।
• সাময়িক সুরক্ষাব্যবস্থা: তাৎক্ষণিকভাবে আপডেট করা সম্ভব না হলে সার্ভারের জনসাধারণের জন্য উন্মুক্ত প্রবেশাধিকার সীমিত করা, নির্দিষ্ট আইপি থেকে প্রবেশের অনুমতি দেওয়া কিংবা ভিপিএনের আড়ালে রাখার মতো ব্যবস্থা নেওয়া যেতে পারে। তবে এগুলো স্থায়ী সমাধানের বিকল্প নয়।

সার্ট-ইইউর নির্দেশনায়ও বলা হয়েছে, সাময়িক প্রতিরোধমূলক ব্যবস্থা ঝুঁকি কমাতে পারে, কিন্তু নিরাপত্তা আপডেট প্রয়োগই দুর্বলতা দূর করার প্রধান উপায়।

শুধু সফটওয়্যার নয়, নিরাপত্তা রক্ষণাবেক্ষণও জরুরি

পিএইচপির এই ঘটনা ইন্টারনেট অবকাঠামোর একটি মৌলিক দুর্বলতা সামনে এনেছে। কোনো সফটওয়্যার যত জনপ্রিয় ও বহুল ব্যবহৃত হয়, তাতে ত্রুটি ধরা পড়লে সম্ভাব্য প্রভাবও তত বিস্তৃত হতে পারে। আবার সফটওয়্যারের নিরাপত্তা নির্ভর করে শুধু সেটি তৈরির সময় কতটা সতর্কতা অবলম্বন করা হয়েছিল তার ওপর নয়, পরবর্তী সময়ে ত্রুটি শনাক্ত, সমাধান এবং ব্যবহারকারীদের কাছে আপডেট পৌঁছে দেওয়ার ব্যবস্থার ওপরও।

অনেক প্রতিষ্ঠান ওয়েবসাইট তৈরি ও চালু করার পর দীর্ঘদিন তার প্রযুক্তিগত রক্ষণাবেক্ষণকে গুরুত্ব দেয় না। পুরোনো পিএইচপি সংস্করণ, মেয়াদোত্তীর্ণ প্লাগইন, দুর্বল পাসওয়ার্ড এবং নিয়মিত নিরাপত্তা পর্যবেক্ষণের অভাব একটি ওয়েবসাইটকে সহজ লক্ষ্যবস্তুতে পরিণত করতে পারে।

অন্যদিকে, কৃত্রিম বুদ্ধিমত্তা নিরাপত্তা গবেষণাকে দ্রুততর করার পাশাপাশি সাইবার অপরাধীদের সক্ষমতাও বাড়াতে পারে। ফলে ভবিষ্যতে সফটওয়্যারের দুর্বলতা খুঁজে বের করা এবং সেগুলো কাজে লাগানোর মধ্যকার সময় আরও কমে আসার আশঙ্কা রয়েছে।

সবশেষে মনে রাখতে হবে, বিশ্বের ৭০ শতাংশ ওয়েবসাইট ইতিমধ্যে হ্যাক হয়েছে, এমন কোনো তথ্য এই সতর্কতা থেকে পাওয়া যায় না। বরং পিএইচপির ব্যাপক ব্যবহার এবং মূল সফটওয়্যারে থাকা দুটি গুরুতর ত্রুটির কারণে বিপুলসংখ্যক ওয়েবসাইট সম্ভাব্য ঝুঁকির মুখে পড়েছে। সময়মতো নিরাপত্তা আপডেট প্রয়োগ, সার্ভার পর্যবেক্ষণ এবং নিয়মিত রক্ষণাবেক্ষণই এই ঝুঁকি মোকাবিলার সবচেয়ে কার্যকর পথ।