সাইবার হামলা ঠেকাতে উচ্চ সতর্কতা ঝুঁকিতে ব্যাংক ও সরকারি পোর্টাল

বিশ্বজুড়ে বহুল ব্যবহৃত ওয়েব প্রোগ্রামিং ভাষা পিএইচপিতে (PHP) দুটি অত্যন্ত জটিল ও মারাত্মক নিরাপত্তা ত্রুটি শনাক্ত হওয়ার পর বাংলাদেশের সরকারি ও আর্থিক খাতের ওয়েবসাইটগুলোতে সাইবার হামলার তীব্র ঝুঁকি তৈরি হয়েছে। এই ত্রুটির সুযোগ নিয়ে দুর্বৃত্তরা কোনো প্রকার ব্যবহারকারী নাম বা গোপন পাসওয়ার্ড ছাড়াই দূর থেকে যেকোনো ওয়েব সার্ভারের পূর্ণ প্রশাসনিক নিয়ন্ত্রণ নিতে সক্ষম।

উদ্ভূত পরিস্থিতিতে দেশের সব সরকারি-বেসরকারি পোর্টাল, আর্থিক প্রতিষ্ঠান এবং প্রাতিষ্ঠানিক তথ্যভাণ্ডারের নিরাপত্তা নিশ্চিত করতে সর্বোচ্চ সতর্কতা জারি করেছে বাংলাদেশ সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম বা বিজিডি ই-গভ সার্ট (BGD e-Gov CIRT)।

সার্টের কারিগরি মূল্যায়ন প্রতিবেদনে জানানো হয়েছে, আন্তর্জাতিকভাবে ‘পিএইচপি২শেল’ নামে পরিচিত এই ত্রুটি দুটির শনাক্তকারী নম্বর হলো CVE-2026-109618 এবং CVE-2026-109619। সার্বিক ঝুঁকির মাত্রা নির্ধারণে ব্যবহৃত আন্তর্জাতিক মানদণ্ড সিভিএসএস (CVSS) স্কেলে এর স্কোর উঠেছে ৯ দশমিক ২, যা নিরাপত্তা ঝুঁকি বিবেচনায় সর্বোচ্চ পর্যায়ের সংকট হিসেবে গণ্য হয়। মূলত মেমোরি ব্যবস্থাপনার দুর্বলতা থেকেই এই মারাত্মক সংকটের উৎপত্তি।

সংস্থার জারি করা সতর্কবার্তায় বিশদ ব্যাখ্যা দিয়ে বলা হয়েছে, পিএইচপির মেমোরি বরাদ্দের ত্রুটির কারণে সার্ভারের ধারণক্ষমতা ফুরিয়ে গেলে কিংবা মেমোরি ফাঁকা করার প্রক্রিয়া সম্পন্ন হলেও পূর্ববর্তী অনুরোধের সংবেদনশীল তথ্য সেখানে জমা থেকে যাওয়ার সুযোগ তৈরি হচ্ছে। এই দুর্বলতাকে কাজে লাগিয়ে আক্রমণকারীরা দূরবর্তী প্রান্ত থেকে সুনির্দিষ্টভাবে নকশা করা ক্ষতিকর এইচটিটিপি (HTTP) অনুরোধ পাঠিয়ে সার্ভারে সরাসরি নিজস্ব কোড কার্যকর করতে পারে।

এর ফলে সবচেয়ে বেশি কারিগরি ঝুঁকিতে পড়েছে PHP-FPM এবং অ্যাপাচির ‘mod_php’ ব্যবহারকারী সার্ভার অবকাঠামো।

একই সঙ্গে PHP-CGI, FrankenPHP, LiteSpeed, ডকার কন্টেইনার কিংবা শেয়ার্ড হোস্টিং ব্যবস্থার আওতায় পরিচালিত দেশের বিভিন্ন তফসিলি ব্যাংক, সরকারি সেবামূলক বাতায়ন, অনলাইন কেনাকাটার ই-কমার্স প্ল্যাটফর্ম এবং ওয়ার্ডপ্রেস ও লারাভেল ফ্রেমওয়ার্কের ওপর ভিত্তি করে তৈরি ওয়েবসাইটগুলো সরাসরি ঝুঁকিপূর্ণ তালিকায় অবস্থান করছে।

সার্ট সতর্ক করেছে যে এই দুর্বলতার সুযোগে একবার সফল অনুপ্রবেশ ঘটলে হ্যাকাররা পুরো সার্ভারের একক নিয়ন্ত্রণ ছিনিয়ে নিতে পারে। এতে যাবতীয় অভ্যন্তরীণ নথি ও ফাইল চুরি, ডাটাবেসের অভ্যন্তরীণ পাসওয়ার্ড ও এপিআই কি (API Key) ফাঁস হওয়া এবং পুরো ওয়েব পোর্টাল আকস্মিকভাবে অচল হয়ে যাওয়ার মতো অপূরণীয় ক্ষতি হতে পারে।

এই ঝুঁকি থেকে তাৎক্ষণিক সুরক্ষা পেতে পিএইচপির মূল রানটাইম অনতিবিলম্বে হালনাগাদ করার চূড়ান্ত নির্দেশনা দিয়েছে সংস্থাটি। নিরাপদ ঘোষিত নতুন সংস্করণগুলো হলো ৮ দশমিক ৫ দশমিক ১২, ৮ দশমিক ৪ দশমিক ২৭, ৮ দশমিক ৩ দশমিক ৩৬ এবং ৮ দশমিক ২ দশমিক ৩৫। ওয়েব ফ্রেমওয়ার্ক বা অ্যাপ্লিকেশনের পাশাপাশি মূল সার্ভারে ব্যবহৃত পিএইচপি পরিবেশ হালনাগাদ হলো কি না, তা পরীক্ষা করার তাগিদ দেওয়া হয়েছে।

যাঁরা তাৎক্ষণিকভাবে এই প্যাচ প্রয়োগ করতে পারছেন না, তাঁদের জন্য সাময়িক বিকল্প হিসেবে পুরো সার্ভারকে ভার্চুয়াল প্রাইভেট নেটওয়ার্ক বা ভিপিএনের সুরক্ষাবলয়ে রাখা, আইপিভিত্তিক অনুমোদিত তালিকা প্রণয়ন এবং সার্ভার লগ পর্যবেক্ষণের হার কয়েকগুণ বাড়িয়ে দেওয়ার কারিগরি পরামর্শ দিয়েছে বিজিডি ই-গভ সার্ট।