PHP সফটওয়্যারে ভয়াবহ নিরাপত্তা ত্রুটি, ঝুঁকিতে লাখ লাখ ওয়েবসাইট! জরুরি আপডেটের নির্দেশ।
নিজস্ব প্রতিবেদক | আন্তর্জাতিক প্রযুক্তি সংবাদ
বিশ্বজুড়ে ওয়েবসাইট পরিচালনার অন্যতম জনপ্রিয় প্রোগ্রামিং ভাষা PHP-তে দুটি গুরুতর নিরাপত্তা দুর্বলতা শনাক্ত হয়েছে। এসব দুর্বলতা কাজে লাগিয়ে সাইবার অপরাধীরা আক্রান্ত সার্ভারে দূর থেকে ক্ষতিকর কোড চালানোর সুযোগ পেতে পারে। ফলে ওয়েবসাইটের তথ্য চুরি, সার্ভারের নিয়ন্ত্রণ গ্রহণ এবং গুরুত্বপূর্ণ সেবা ব্যাহত হওয়ার আশঙ্কা তৈরি হয়েছে।
২০২৬ সালের ২১ অক্টোবর PHP Security Team দুটি গুরুতর নিরাপত্তা দুর্বলতার সমাধানে জরুরি আপডেট প্রকাশ করে। দুর্বলতা দুটি CVE-2026-109618 এবং CVE-2026-109619 নামে চিহ্নিত হয়েছে। নিরাপত্তা গবেষকদের কাছে এগুলো ‘PHP2Shell’ নামেও পরিচিত।
Reuters-এর প্রতিবেদন অনুযায়ী, দুর্বলতাগুলো প্রকাশের পর ইউরোপসহ বিভিন্ন অঞ্চলের সরকারি ওয়েবসাইট ও গুরুত্বপূর্ণ সেবা পরিচালনাকারীরা নিজেদের PHP সার্ভার সুরক্ষিত করতে জরুরি পদক্ষেপ নেয়। কিছু ওয়েবসাইট সতর্কতামূলকভাবে সাময়িকভাবে বন্ধও রাখা হয়েছিল।
PHP2Shell কী এবং কেন এটি বিপজ্জনক?
PHP2Shell হলো PHP সফটওয়্যারের দুটি গুরুতর নিরাপত্তা দুর্বলতার জন্য ব্যবহৃত নাম।
নিরাপত্তা গবেষকদের তথ্য অনুযায়ী, দুর্বলতাগুলো কাজে লাগাতে পারলে অননুমোদিত আক্রমণকারী কোনো ব্যবহারকারীর লগইন বা অনুমোদন ছাড়াই আক্রান্ত সার্ভারে নিজের পছন্দমতো কোড চালানোর সুযোগ পেতে পারে।
এ ধরনের আক্রমণকে Remote Code Execution (RCE) বলা হয়।
এর মাধ্যমে আক্রমণকারী পরিস্থিতি অনুযায়ী:
- ওয়েব সার্ভারে অননুমোদিত প্রবেশ করতে পারে।
- ওয়েবসাইটের গুরুত্বপূর্ণ ফাইল ও তথ্য চুরি করতে পারে।
- সার্ভারে ক্ষতিকর সফটওয়্যার ইনস্টল করতে পারে।
- ওয়েবসাইটের প্রশাসনিক নিয়ন্ত্রণ নেওয়ার চেষ্টা করতে পারে।
- প্রতিষ্ঠানের অভ্যন্তরীণ নেটওয়ার্কে আরও গভীরে প্রবেশের সুযোগ পেতে পারে।
দুটি দুর্বলতার নিরাপত্তা স্কোর CVSS 4.0 অনুযায়ী ৯.২, যা অত্যন্ত গুরুতর হিসেবে বিবেচিত।
কোন কোন PHP সংস্করণ ঝুঁকিতে?
PHP Security Team-এর প্রকাশিত নিরাপত্তা আপডেট অনুযায়ী, একাধিক PHP সংস্করণ এই দুর্বলতায় আক্রান্ত হতে পারে।
নিচে আক্রান্ত সংস্করণ এবং নিরাপদ আপডেটের তালিকা দেওয়া হলো:
| আক্রান্ত PHP সংস্করণ | নিরাপদ সংস্করণ |
|---|---|
| PHP 8.5 | 8.5.12 বা পরবর্তী |
| PHP 8.4 | 8.4.27 বা পরবর্তী |
| PHP 8.3 | 8.3.36 বা পরবর্তী |
| PHP 8.2 | 8.2.35 বা পরবর্তী |
PHP 8.1 এবং এর আগের সংস্করণগুলোও ঝুঁকিতে রয়েছে। তবে এসব পুরোনো সংস্করণের অনেকগুলো আর নিয়মিত নিরাপত্তা আপডেট পায় না। তাই সমর্থিত সংস্করণে স্থানান্তর করা প্রয়োজন।
ইতোমধ্যে কি হ্যাকাররা এই দুর্বলতা ব্যবহার করছে?
হ্যাঁ। বিষয়টি আরও উদ্বেগজনক হয়ে উঠেছে।
কানাডার Centre for Cyber Security-এর ২৭ অক্টোবরের আপডেট এবং অন্যান্য নিরাপত্তা গবেষণায় দুর্বলতা দুটি বাস্তবে কাজে লাগানোর প্রমাণের কথা জানানো হয়েছে।
যুক্তরাষ্ট্রের Cybersecurity and Infrastructure Security Agency (CISA) ২৬ অক্টোবর ২০২৬ তারিখে CVE-2026-109618 এবং CVE-2026-109619-কে Known Exploited Vulnerabilities (KEV) তালিকায় যুক্ত করে।
এর অর্থ হলো, এগুলো শুধু তাত্ত্বিক নিরাপত্তা সমস্যা নয়; বাস্তব আক্রমণেও ব্যবহৃত হচ্ছে বলে নিরাপত্তা সংস্থাগুলো তথ্য পেয়েছে।
WordPress ওয়েবসাইটগুলো কি ঝুঁকিতে?
PHP ব্যবহার করে তৈরি হওয়ায় WordPress ওয়েবসাইট পরিচালকদেরও বিষয়টি গুরুত্বের সঙ্গে দেখা প্রয়োজন।
তবে শুধু WordPress ব্যবহার করলেই একটি ওয়েবসাইট আক্রান্ত হবে, এমন নয়। ঝুঁকি নির্ভর করে সার্ভারে ব্যবহৃত PHP সংস্করণ, সার্ভার কনফিগারেশন এবং অন্যান্য প্রযুক্তিগত বিষয়ের ওপর।
যেসব ওয়েবসাইট পুরোনো PHP সংস্করণ ব্যবহার করছে, তাদের দ্রুত হোস্টিং প্রদানকারীর সঙ্গে যোগাযোগ করে PHP আপডেট নিশ্চিত করা উচিত।
বিশেষ করে যেসব ওয়েবসাইটে অনলাইন লেনদেন, ব্যবহারকারীর ব্যক্তিগত তথ্য অথবা গুরুত্বপূর্ণ ডেটাবেজ রয়েছে, সেগুলোর নিরাপত্তা পরীক্ষা করা জরুরি।
সার্ভার ও ওয়েবসাইট অ্যাডমিনদের জন্য জরুরি করণীয়
নিরাপত্তা ঝুঁকি কমাতে PHP Security Team এবং বিভিন্ন সরকারি সাইবার নিরাপত্তা সংস্থা কয়েকটি গুরুত্বপূর্ণ পদক্ষেপের পরামর্শ দিয়েছে।
১. সার্ভারে ব্যবহৃত PHP সংস্করণ পরীক্ষা করুন।
২. PHP-এর নিরাপদ সংস্করণে আপডেট করুন।
৩. পুরোনো ও Unsupported PHP সংস্করণ ব্যবহার বন্ধ করুন।
৪. cPanel অথবা Hosting Control Panel থেকে PHP Version পরীক্ষা করুন।
৫. ওয়েব সার্ভারের লগে সন্দেহজনক অনুরোধ ও অস্বাভাবিক কার্যক্রম পরীক্ষা করুন।
৬. ওয়েবসাইট ও ডেটাবেজের নিয়মিত ব্যাকআপ রাখুন।
৭. WordPress, Plugin এবং Theme নিয়মিত আপডেট করুন।
৮. আপডেট করা সম্ভব না হলে ঝুঁকিপূর্ণ সার্ভারের ইন্টারনেট সংযোগ সাময়িকভাবে সীমিত রাখার বিষয়টি বিবেচনা করুন।
যুক্তরাষ্ট্রের NSA-এর সতর্কবার্তা
যুক্তরাষ্ট্রের National Security Agency (NSA) ২১ অক্টোবর প্রকাশিত সতর্কবার্তায় PHP2Shell দুর্বলতাগুলো দ্রুত সমাধানের ওপর গুরুত্ব দিয়েছে।
সংস্থাটি জানিয়েছে, আক্রান্ত PHP সার্ভারে অননুমোদিত প্রবেশের মাধ্যমে গুরুত্বপূর্ণ তথ্য চুরি, সার্ভারের ক্ষতি এবং প্রতিষ্ঠানের নেটওয়ার্কে আরও আক্রমণ পরিচালনার সুযোগ তৈরি হতে পারে।
NSA-এর পরামর্শ অনুযায়ী, যেসব প্রতিষ্ঠান দ্রুত নিরাপত্তা আপডেট দিতে পারছে না, তাদের ঝুঁকিপূর্ণ সিস্টেম সাময়িকভাবে অফলাইনে রাখার বিষয়টি বিবেচনা করা উচিত।
শেষ কথা
PHP ইন্টারনেটের অন্যতম গুরুত্বপূর্ণ প্রযুক্তি। বিশ্বের অসংখ্য ওয়েবসাইট, অনলাইন সেবা এবং কনটেন্ট ম্যানেজমেন্ট সিস্টেম এই প্রযুক্তির ওপর নির্ভরশীল।
PHP2Shell-এর মতো গুরুতর দুর্বলতা আমাদের মনে করিয়ে দেয়, ওয়েবসাইট চালু রাখাই যথেষ্ট নয়—নিয়মিত নিরাপত্তা আপডেট, সার্ভার পর্যবেক্ষণ এবং ডেটা ব্যাকআপ নিশ্চিত করাও অত্যন্ত জরুরি।
আপনার ওয়েবসাইট যদি PHP বা WordPress ব্যবহার করে, তাহলে হোস্টিং প্যানেল থেকে PHP সংস্করণ পরীক্ষা করুন এবং প্রয়োজনীয় নিরাপত্তা আপডেট নিশ্চিত করুন।
Network Info | প্রযুক্তি, নেটওয়ার্কিং ও সাইবার নিরাপত্তার নির্ভরযোগ্য তথ্য।
প্রতিবেদনের তারিখ: ১ নভেম্বর ২০২৬
*বিশেষ দ্রষ্টব্য: নিরাপত্তা পরিস্থিতি পরিবর্তনশীল। PHP Security Team-এর সর্বশেষ নির্দেশনা অনুসরণ করুন।
মূল সংবাদসূত্র
এই সংবাদটি আন্তর্জাতিক সংবাদমাধ্যম ও সরকারি সাইবার নিরাপত্তা সংস্থার প্রকাশিত তথ্যের ভিত্তিতে তৈরি।
১. রয়টার্স (Reuters): PHP-তে গুরুতর নিরাপত্তা দুর্বলতা ও জরুরি আপডেট প্রকাশ
২. PHP Security Team: PHP-এর অফিসিয়াল নিরাপত্তা আপডেট – ২১ অক্টোবর ২০২৬
৩. যুক্তরাষ্ট্রের NSA: PHP2Shell নিরাপত্তা দুর্বলতা নিয়ে জরুরি সতর্কবার্তা
৪. কানাডার সাইবার নিরাপত্তা কেন্দ্র: PHP2Shell – CVE-2026-109618 ও CVE-2026-109619
৫. ভারতের CERT-In: PHP Remote Code Execution Vulnerability Advisory
প্রকাশক: Network Info
বিভাগ: Cyber Security News