ওয়েবসাইট তৈরিতে বহুল ব্যবহৃত PHP প্রোগ্রামিং ভাষার দুটি গুরুতর নিরাপত্তা ত্রুটি কাজে লাগিয়ে বাস্তব হামলার তথ্য নিশ্চিত করেছেন গবেষকেরা। ২৯ অক্টোবর ২০২৬ প্রকাশিত হালনাগাদ প্রতিবেদনে নিরাপত্তা প্রতিষ্ঠান Palo Alto Networks জানিয়েছে, ইন্টারনেটে উন্মুক্ত কিছু PAN-OS ব্যবস্থাপনা ইন্টারফেসে এই ত্রুটিগুলো ব্যবহার করা হচ্ছে। ফলে PHP-নির্ভর ওয়েবসাইট ও সার্ভার পরিচালনাকারীদের দ্রুত নিরাপত্তা আপডেট দেওয়ার পরামর্শ দেওয়া হয়েছে।
কী ঘটেছে, আর খবরটি এখন গুরুত্বপূর্ণ কেন?
ত্রুটি দুটির পরিচিতি CVE-2026-109618 ও CVE-2026-109619। একসঙ্গে এগুলোকে PHP2Shell বলা হচ্ছে। PHP কর্তৃপক্ষ ২১ অক্টোবর নিরাপত্তা সংশোধনী প্রকাশ করে। পরে ২৬ অক্টোবর যুক্তরাষ্ট্রের সাইবার নিরাপত্তা সংস্থা CISA ত্রুটিগুলোকে বাস্তবে অপব্যবহারের প্রমাণ পাওয়া দুর্বলতার তালিকায় যুক্ত করে। ২৯ অক্টোবর Palo Alto Networks-এর Unit 42 দল নির্দিষ্ট আক্রমণ কার্যক্রমের নতুন তথ্য জানায়। অর্থাৎ ত্রুটির ঘোষণা পুরোনো হলেও হামলার বিষয়ে নিশ্চিত হালনাগাদটি সাম্প্রতিক।
Unit 42-এর তথ্য অনুযায়ী, আক্রমণকারীরা কিছু ক্ষেত্রে PHP2Shell-এর সঙ্গে Linux-এর আরেকটি ত্রুটি মিলিয়ে সার্ভারে উচ্চতর নিয়ন্ত্রণ নেওয়ার চেষ্টা করেছে। প্রতিষ্ঠানটি নিজস্ব পরীক্ষায় আক্রমণে ব্যবহৃত টুলের কার্যকারিতা নিশ্চিত করেছে। তবে এ থেকে সব WordPress ওয়েবসাইটে হামলা হয়েছে বা সব PHP সার্ভার আক্রান্ত, এমন সিদ্ধান্ত নেওয়া যাবে না।
ত্রুটি দুটি কতটা ঝুঁকিপূর্ণ?
দুটি ত্রুটিরই CVSS 4.0 নিরাপত্তা স্কোর ৯.২, যা ‘গুরুতর’ পর্যায়ের। বিশেষভাবে তৈরি অনুরোধ পাঠিয়ে আক্রান্ত PHP সার্ভারে অননুমোদিত কোড চালানোর সুযোগ তৈরি হতে পারে। সহজভাবে বললে, কোনো ব্যবহারকারী লগইন না করেও দুর্বল সার্ভারের কিছু কার্যক্রম নিয়ন্ত্রণের চেষ্টা করতে পারে। বাস্তবে ঝুঁকির মাত্রা সার্ভারের PHP সংস্করণ, সেটআপ এবং নিরাপত্তাব্যবস্থার ওপর নির্ভর করে।
কোন PHP সংস্করণে নিরাপত্তা সংশোধনী এসেছে?
PHP কর্তৃপক্ষ চারটি সমর্থিত সংস্করণে সংশোধনী দিয়েছে: PHP 8.2-এর জন্য 8.2.35, PHP 8.3-এর জন্য 8.3.36, PHP 8.4-এর জন্য 8.4.27 এবং PHP 8.5-এর জন্য 8.5.12। সংশ্লিষ্ট শাখায় এই সংস্করণ বা তার পরের নিরাপত্তা আপডেট ব্যবহার করা উচিত। PHP 8.1 ও তার আগের সংস্করণগুলো নিয়মিত সমর্থনের বাইরে; সেগুলো থেকে সমর্থিত সংস্করণে যাওয়াই নিরাপদ পথ।
WordPress ও অন্য ওয়েবসাইটের মালিকেরা কী করবেন?
প্রথমে হোস্টিং প্যানেলে গিয়ে ওয়েবসাইটের PHP সংস্করণ দেখুন। WordPress ব্যবহার করলে ড্যাশবোর্ডের Tools → Site Health → Info → Server অংশেও PHP সংস্করণ পাওয়া যায়। পুরোনো সংস্করণ থাকলে হোস্টিং প্রতিষ্ঠানের সহায়তায় নিরাপত্তা সংশোধনীযুক্ত সংস্করণে আপডেট করুন।
আপডেটের আগে সাইট ও ডেটাবেসের ব্যাকআপ রাখুন। সম্ভব হলে স্টেজিং সাইটে থিম, প্লাগইন ও প্রয়োজনীয় ফিচার পরীক্ষা করুন। শুধু WordPress বা প্লাগইন আপডেট করলেই PHP-এর এই সার্ভার-স্তরের ত্রুটি দূর হয় না; PHP সংস্করণটিও সংশোধিত হতে হবে।
হোস্টিং প্রতিষ্ঠান PHP পরিচালনা করলে তাদের কাছে নিশ্চিত হয়ে নিন, আপনার সাইটের সার্ভারে সংশ্লিষ্ট প্যাচ বসানো হয়েছে কি না। আপডেট সম্ভব না হলে সাময়িক ঝুঁকি কমানোর ব্যবস্থা নিতে হবে, তবে PHP কর্তৃপক্ষ জানিয়েছে, পূর্ণ সুরক্ষার জন্য সংশোধিত সংস্করণে আপডেটের বিকল্প নেই।
