বিশ্বজুড়ে সাইবার হামলার শঙ্কা, বাংলাদেশেও সতর্কতা জারি
ওয়েবসাইট তৈরি ও পরিচালনায় বহুল ব্যবহৃত প্রোগ্রামিং প্রযুক্তি পিএইচপিতে দুটি গুরুতর নিরাপত্তাত্রুটি শনাক্ত হয়েছে। ত্রুটি দুটির সুযোগ নিয়ে সাইবার হামলাকারীরা ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে ঝুঁকিপূর্ণ সার্ভারে ক্ষতিকর কোড চালাতে পারে। এতে সার্ভারের নিয়ন্ত্রণ নেওয়া, তথ্য চুরি এবং ওয়েবসাইটের কার্যক্রম ব্যাহত হওয়ার আশঙ্কা রয়েছে।
‘পিএইচপি২শেল’ (PHP2Shell) নামে পরিচিত এ ঝুঁকি নিয়ে বাংলাদেশেও সতর্কতা জারি করেছে সরকারের সাইবার নিরাপত্তাবিষয়ক সংস্থা বিজিডি ই-গভ সার্ট। সংস্থাটি সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে তাদের সার্ভারে কোথায় কোথায় পিএইচপি ব্যবহার করা হচ্ছে, তার তালিকা তৈরি করে ব্যবহৃত সংস্করণগুলো ঝুঁকিপূর্ণ কি না, তা যাচাই করার পরামর্শ দিয়েছে।
বৃহস্পতিবার (২২ অক্টোবর) প্রকাশিত নিরাপত্তা বিজ্ঞপ্তিতে সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯ নম্বরের দুটি ত্রুটির কথা উল্লেখ করা হয়। আন্তর্জাতিক পর্যায়ে প্রকাশিত বিভিন্ন নিরাপত্তা সতর্কবার্তায়ও ত্রুটি দুটির গুরুতর ঝুঁকির বিষয়ে সতর্ক করা হয়েছে। সাইবার হামলার আশঙ্কায় বিশ্বের বিভিন্ন সরকারি সংস্থা ও বাণিজ্যিক প্রতিষ্ঠান তাদের ওয়েবসাইট সাময়িকভাবে বন্ধ রেখেছে বলে প্রতিবেদনে উল্লেখ করা হয়েছে।
ঝুঁকিতে যেসব সার্ভার
বিজিডি ই-গভ সার্টের বিজ্ঞপ্তি অনুযায়ী, পিএইচপি-এফপিএম, মড-পিএইচপি ব্যবহারকারী অ্যাপাচি, পিএইচপি-সিজিআই, ফ্রাঙ্কেনপিএইচপি এবং লাইটস্পিডভিত্তিক সার্ভার এ ঝুঁকির মুখে থাকতে পারে। এ ছাড়া কনটেইনার, শেয়ারড হোস্টিং এবং পিএইচপি দিয়ে তৈরি বিভিন্ন ওয়েব অ্যাপ্লিকেশনও পরীক্ষা করে দেখার পরামর্শ দেওয়া হয়েছে।
পিএইচপি ওয়েবসাইট ও অনলাইন সেবার বিভিন্ন কার্যক্রম পরিচালনায় ব্যবহৃত একটি প্রোগ্রামিং ভাষা। সরকারি ওয়েব পোর্টাল, প্রশাসনিক ব্যবস্থা, ই-কমার্স প্ল্যাটফর্মসহ বিভিন্ন অনলাইন সেবায় এর ব্যবহার রয়েছে। ফলে কোনো সার্ভারে নিরাপত্তাত্রুটি থাকলে সংশ্লিষ্ট ওয়েবসাইটের তথ্য ও কার্যক্রম ঝুঁকিতে পড়তে পারে।
যুক্তরাজ্যের ন্যাশনাল হেলথ সার্ভিসের ডিজিটাল নিরাপত্তা বিভাগও জানিয়েছে, ত্রুটি দুটি কাজে লাগিয়ে পরিচয় যাচাই ছাড়াই দূর থেকে কোড চালানো বা সংবেদনশীল তথ্য পাওয়ার সুযোগ তৈরি হতে পারে। তাদের মূল্যায়নে ভবিষ্যতে এসব ত্রুটির অপব্যবহারের আশঙ্কাকে উচ্চ ঝুঁকি হিসেবে বিবেচনা করা হয়েছে।
বাংলাদেশের সরকারি ওয়েবসাইট নিয়ে উদ্বেগ
বাংলাদেশের সরকারি ওয়েবসাইট তৈরি ও তত্ত্বাবধানের সঙ্গে যুক্ত অ্যাসপায়ার টু ইনোভেট (এটুআই) প্রকল্পের কর্মকর্তারা জানিয়েছেন, তাদের পরিচালিত ন্যাশনাল পোর্টাল ব্যবস্থার ওয়েবসাইটগুলো পিএইচপি দিয়ে তৈরি নয়। ফলে পিএইচপির এ নিরাপত্তাত্রুটির কারণে সেগুলো সরাসরি ঝুঁকিতে পড়ার কথা নয়।
তবে ন্যাশনাল পোর্টাল ব্যবস্থার বাইরে বিভিন্ন সরকারি প্রতিষ্ঠান ও দপ্তরের ওয়েবসাইট রয়েছে, যেগুলো পিএইচপি দিয়ে তৈরি হতে পারে। বেসরকারি খাতেও ওয়েবসাইট ও ওয়েবভিত্তিক অ্যাপ্লিকেশন তৈরিতে প্রযুক্তিটি ব্যবহৃত হয়। ফলে এসব ওয়েবসাইট ও অনলাইন সেবায় ঝুঁকির সম্ভাবনা রয়েছে বলে মনে করছেন সংশ্লিষ্ট বিশেষজ্ঞরা।
বাংলাদেশে কতটি সরকারি ওয়েবসাইট বা সার্ভারে পিএইচপি ব্যবহার করা হয়, তার নির্দিষ্ট পরিসংখ্যান পাওয়া যায়নি। তবে পিএইচপির ব্যাপক ব্যবহার বিবেচনায় ঝুঁকিপূর্ণ সার্ভার দ্রুত শনাক্ত করার ওপর গুরুত্ব দিয়েছেন সাইবার নিরাপত্তা বিশেষজ্ঞ তানভীর হাসান জোহা।
ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিক বিভাগের সহযোগী অধ্যাপক তানভীর হাসান জোহা বলেন, বাংলাদেশের সরকারি ওয়েবসাইটের মধ্যে পিএইচপি ব্যবহারকারী সাইটের হার ৬০ থেকে ৮৫ শতাংশ হতে পারে বলে তাঁর ধারণা। তবে এটি যাচাইকৃত পরিসংখ্যান নয়।
তিনি সরকারি সার্ভারগুলোতে ব্যবহৃত পিএইচপির সংস্করণ শনাক্ত করে তালিকা তৈরির ওপর গুরুত্ব দেন। বিশেষ করে ইন্টারনেটে সরাসরি উন্মুক্ত সার্ভারগুলো আগে শনাক্ত করে সেগুলোর নিরাপত্তা নিশ্চিত করার পরামর্শ দিয়েছেন তিনি।
তানভীর হাসান জোহা বলেন, সংশ্লিষ্ট সার্ভারগুলো দ্রুত নিরাপত্তা সমাধানযুক্ত পিএইচপি সংস্করণে হালনাগাদ করতে হবে। যেসব সার্ভার তাৎক্ষণিকভাবে হালনাগাদ করা সম্ভব নয়, সেগুলোর ক্ষেত্রে সাময়িকভাবে ফায়ারওয়াল ব্যবহার করে প্রবেশ নিয়ন্ত্রণ এবং প্রয়োজনে ইন্টারনেট থেকে বিচ্ছিন্ন রাখার ব্যবস্থা বিবেচনা করতে হবে।
পাশাপাশি সাম্প্রতিক কয়েক দিনের সার্ভার লগ পরীক্ষা করে অস্বাভাবিক অনুরোধ ও সন্দেহজনক কার্যক্রম শনাক্ত করাও জরুরি বলে মনে করেন তিনি।
বিজিডি ই-গভ সার্টের পক্ষ থেকে সময়সীমা নির্ধারণ করে সমন্বিত নির্দেশনা দেওয়ার প্রস্তাবও দিয়েছেন এ বিশেষজ্ঞ। তাঁর মতে, সাইবার নিরাপত্তা নিশ্চিত করতে আইন ও নীতিমালার পাশাপাশি প্রযুক্তিগত অবকাঠামো নিয়মিত হালনাগাদ রাখা এবং দ্রুত সাড়া দেওয়ার সক্ষমতা গড়ে তোলা প্রয়োজন।
দ্রুত হালনাগাদের পরামর্শ
নিরাপত্তাত্রুটি মোকাবিলায় সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে দ্রুত পিএইচপি রানটাইম হালনাগাদ করার পরামর্শ দিয়েছে বিজিডি ই-গভ সার্ট। সংস্থাটির বিজ্ঞপ্তিতে বলা হয়েছে, শুধু অ্যাপ্লিকেশন বা ফ্রেমওয়ার্ক হালনাগাদ করলেই এর পেছনে ব্যবহৃত পিএইচপি রানটাইম হালনাগাদ হয় না। তাই সার্ভারে ওয়েব অনুরোধ পরিচালনার জন্য ব্যবহৃত প্রকৃত পিএইচপি সংস্করণে নিরাপত্তা সমাধান যুক্ত হয়েছে কি না, তা নিশ্চিত করতে হবে।
হালনাগাদের আগপর্যন্ত কনফিগারেশন পরিবর্তন ও নেটওয়ার্কে প্রবেশ সীমিত করে ঝুঁকি কমানো সম্ভব হলেও এসব ব্যবস্থা স্থায়ী সমাধান নয়। একই সঙ্গে নিরাপত্তাত্রুটি প্রকাশের আগেই কোনো সার্ভারে অনুপ্রবেশ ঘটেছে কি না, তা যাচাই করাও গুরুত্বপূর্ণ।
কারণ, সফটওয়্যার হালনাগাদ করলেই আগের কোনো অনুপ্রবেশ বা ক্ষতিকর পরিবর্তন স্বয়ংক্রিয়ভাবে দূর হয়ে যায় না। তাই নিরাপত্তা সমাধান যুক্ত করার পাশাপাশি সার্ভারের কার্যক্রম পরীক্ষা এবং সন্দেহজনক কর্মকাণ্ড শনাক্ত করে প্রয়োজনীয় ব্যবস্থা নেওয়ার ওপরও গুরুত্ব দেওয়া হয়েছে।
