বিশ্বের প্রায় ৭০ শতাংশ ওয়েবসাইটের পেছনে ব্যবহৃত মূল প্রোগ্রামিং ল্যাঙ্গুয়েজ পিএইচপিতে (PHP) দুটি গুরুতর নিরাপত্তা দুর্বলতা ধরা পড়েছে, যা যৌথভাবে ‘পিএইচপুটুশেল’ (PHP2Shell) নামে পরিচিত। এই ত্রুটির ফলে কোনো পাসওয়ার্ড বা লগইন তথ্য ছাড়াই আক্রমণকারীরা ওয়েবসাইটের মূল ব্যাকএন্ড বা সার্ভারের নিয়ন্ত্রণ নিতে পারে।
২০২৬ সালের ২১ অক্টোবর পিএইচপি রক্ষণাবেক্ষণকারী দল এই ত্রুটির জন্য জরুরি নিরাপত্তা প্যাচ (Fixes) প্রকাশ করে। একই দিন যুক্তরাষ্ট্রের সাইবারসিকিউরিটি অ্যান্ড ইনফ্রাস্ট্রাকচার সিকিউরিটি এজেন্সি (CISA), ন্যাশনাল সিকিউরিটি এজেন্সি (NSA) এবং এফবিআই সংশ্লিষ্টদের অবিলম্বে সিস্টেম আপডেট করার নির্দেশ দেয়। সংস্থাগুলো সতর্ক করে জানায়, যাদের দ্রুত আপডেট করা সম্ভব নয়, তারা যেন আপডেট সম্পন্ন না হওয়া পর্যন্ত আক্রান্ত সিস্টেমগুলো সাময়িকভাবে অফলাইনে রাখেন।
নিরাপত্তা সংস্থাগুলোর তথ্য অনুযায়ী, আক্রমণকারীরা ক্ষতিকর ওয়েব ট্রাফিকের মাধ্যমে পিএইচপিকে নিজের নির্দেশ চালাতে বাধ্য করতে পারে। এর মাধ্যমে সংবেদনশীল ডেটা চুরি করা, ওয়েবসাইটে সেবা বিঘ্নিত করা বা কোম্পানির অভ্যন্তরীণ নেটওয়ার্কে প্রবেশ করা সম্ভব। ওয়ার্ডপ্রেস (WordPress), উকমার্স (WooCommerce), দ্রুপাল (Drupal), জুমলা (Joomla), মেজেন্টো (Magento), প্রেস্তাশপ (PrestaShop) কিংবা ওপেনকার্ট (OpenCart) ব্যবহারকারী ওয়েবসাইটগুলো সাধারণত পিএইচপির ওপর নির্ভর করে তৈরি।
সমস্যাটি পিএইচপির মূল সফটওয়্যারে হওয়ায় ওয়ার্ডপ্রেস বা সাধারণ প্লাগইন আপডেট করে এই ঝুঁকি দূর করা যাবে না। সমাধানটি সরাসরি সার্ভার পর্যায়ে সম্পন্ন করতে হবে। বিভিন্ন হোস্টিং কোম্পানি ইতোমধ্যে প্যাচ দেওয়া শুরু করলেও সব প্যাকেজে এটি স্বয়ংক্রিয়ভাবে কার্যকর নাও হতে পারে। ফলে সাইট মালিকদের নিজ উদ্যোগে হোস্টিং প্রোভাইডার বা ওয়েব ডেভেলপারের সঙ্গে যোগাযোগ করে বিষয়টি নিশ্চিত করার তাগিদ দেওয়া হয়েছে।
নিরাপত্তা প্রতিবেদন অনুযায়ী, পিএইচপি ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ অথবা ৮.২.৩৫ এবং এর পরবর্তী সংস্করণগুলোতে এই ত্রুটি সারাই করা হয়েছে। তবে পিএইচপি ৮.১ এবং এর চেয়ে পুরোনো সংস্করণে আর কোনো নিরাপত্তা আপডেট দেওয়া হয় না। বিশেষজ্ঞদের মতে, প্রায় ৩৫ শতাংশ ওয়ার্ডপ্রেস সাইট এখনও পুরোনো সংস্করণে চলছে, যা বর্তমানে সবচেয়ে বেশি ঝুঁকিতে রয়েছে। সাইবার হামলাকারীরা ১৭ অক্টোবর থেকেই এসব দুর্বলতা কাজে লাগানোর চেষ্টা করছে বলে ধারণা করা হচ্ছে।
কেন এটি গুরুত্বপূর্ণ
অনলাইন কেনাকাটা, বুকিং বা গ্রাহক সেবাদানকারী যেকোনো ওয়েবসাইটের সার্ভার বেহাত হলে গ্রাহকের ব্যক্তিগত ও আর্থিক তথ্য চুরি হতে পারে। ছোট ব্যবসার ক্ষেত্রে বড় ধরনের সাইবার আক্রমণের চেয়ে ওয়েবসাইট সাময়িক বন্ধ রেখে আপডেট করা তুলনামূলকভাবে নিরাপদ ও কম খরচের উপায়।
বাংলাদেশি-আমেরিকান প্রেক্ষাপট
যুক্তরাষ্ট্রে যেসব বাংলাদেশি অভিবাসী নিজস্ব ওয়েবসাইট ও ই-কমার্স প্ল্যাটফর্মের মাধ্যমে ব্যবসা পরিচালনা করছেন, তাদের ওয়েবসাইটগুলো ওয়ার্ডপ্রেস বা পিএইচপিভিত্তিক হওয়ার সম্ভাবনা বেশি। সময়মতো সার্ভার আপডেট না করলে বা হোস্টিং প্রোভাইডারের সুরক্ষা নিশ্চিত না হলে ব্যবসায়িক ডেটা বেহাত হওয়ার ঝুঁকি তৈরি হতে পারে।
আপনার কী করা উচিত?
- 1ওয়ার্ডপ্রেস ব্যবহারকারীরা Tools > Site Health > Info > Server অপশনে গিয়ে পিএইচপি সংস্করণ পরীক্ষা করুন এবং তা অনুমোদিত প্যাচ সংস্করণের (৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬, ৮.২.৩৫ বা নতুন) সঙ্গে মিলিয়ে নিন।
- 2হোস্টিং প্রোভাইডার বা ওয়েব ডেভেলপারের সঙ্গে অবিলম্বে যোগাযোগ করে সার্ভারে পিএইচপি প্যাচ ইনস্টল করা হয়েছে কি না তা লিখিতভাবে নিশ্চিত করুন।
- 3দ্রুত আপডেট করা সম্ভব না হলে নিরাপত্তা নিশ্চিত না হওয়া পর্যন্ত ওয়েবসাইট মেইনটেন্যান্স মোডে বা অফলাইনে রাখুন।
- 4প্যাচ ইনস্টল করার পর ওয়েবসাইট অ্যাডমিন, হোস্টিং অ্যাকাউন্ট এবং থার্ড-পার্টি কানেকশন কিগুলোর পাসওয়ার্ড পরিবর্তন করুন ও টু-ফ্যাক্টর অথেনটিকেশন (2FA) চালু করুন।
- 5অনানুষ্ঠানিক কোনো প্লাগইন বা সোশ্যাল মিডিয়ার কোড ব্যবহার করে সমাধান করার চেষ্টা করা থেকে বিরত থাকুন।
সূত্র: US Chamber of Commerce CO
