সাইবার হামলার ঝুঁকিতে দেশ, জরুরি সতর্কতা জারি

ওয়েবসাইট পরিচালনায় বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হয়েছে। পিএইচপি২শেল নামে পরিচিত এই দুর্বলতা কাজে লাগিয়ে ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে সাইবার হামলাকারীরা। এতে ওয়েবসাইটের নিয়ন্ত্রণ হারানো, গুরুত্বপূর্ণ তথ্য চুরি, পাসওয়ার্ড ও গোপন সংকেত ফাঁস এবং অনলাইন সেবা অচল হয়ে পড়ার আশঙ্কা তৈরি হয়েছে। 

এ পরিস্থিতিতে বৃহস্পতিবার (২২ অক্টোবর) বাংলাদেশে উচ্চ সতর্কতা জারি করেছে সরকারের সাইবার নিরাপত্তা সংস্থা বিজিডি ই-গভ সার্ট। নিরাপত্তাঝুঁকি বিবেচনায় বাংলাদেশ ব্যাংকসহ কয়েকটি ব্যাংকের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছে বলে সংশ্লিষ্ট প্রতিবেদনে উল্লেখ করা হয়েছে।

জারি করা সতর্কতায় বিজিডি ই-গভ সার্ট জানায়, পিএইচপির এই নিরাপত্তা দুর্বলতা সরকারি-বেসরকারি বিভিন্ন প্রতিষ্ঠানের ওয়েবসাইট ও সার্ভারকে ঝুঁকির মধ্যে ফেলতে পারে। আন্তর্জাতিক নিরাপত্তা মূল্যায়ন পদ্ধতিতে ত্রুটি দুটির ঝুঁকির স্কোর ১০-এর মধ্যে ৯ দশমিক ২। এগুলোর শনাক্তকরণ নম্বর সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯। পিএইচপির উন্নয়নকারী দলও ২১ অক্টোবর ত্রুটি দুটি সমাধানে জরুরি নিরাপত্তা সংস্করণ প্রকাশ করে এবং ব্যবহারকারীদের দ্রুত হালনাগাদের পরামর্শ দেয়।

যেভাবে কাজ করে নিরাপত্তা ত্রুটি

পিএইচপি একটি সার্ভারভিত্তিক প্রোগ্রামিং ভাষা, যা ওয়েবসাইটের বিভিন্ন কার্যক্রম পরিচালনা, তথ্য প্রক্রিয়াকরণ এবং ব্যবহারকারীর অনুরোধ অনুযায়ী কনটেন্ট দেখাতে ব্যবহৃত হয়। বিশ্বের অসংখ্য ওয়েবসাইট ও অনলাইন সেবা এই প্রযুক্তির ওপর নির্ভরশীল। ফলে পিএইচপির মূল ব্যবস্থায় কোনো নিরাপত্তা দুর্বলতা দেখা দিলে তার প্রভাব শুধু একটি ওয়েবসাইটে সীমাবদ্ধ না থেকে সংশ্লিষ্ট সার্ভার ও সেখানে পরিচালিত একাধিক সেবায় ছড়িয়ে পড়তে পারে।

সার্টের তথ্য অনুযায়ী, পিএইচপির মেমোরি ব্যবস্থাপনায় ত্রুটির কারণে এ ঝুঁকি তৈরি হয়েছে। কম্পিউটার কোনো কাজ সম্পাদনের সময় সাময়িকভাবে তথ্য মেমোরিতে সংরক্ষণ করে। কাজ শেষ হলে সেই তথ্যের ব্যবস্থাপনা সঠিকভাবে সম্পন্ন না হলে অথবা মেমোরি-সংক্রান্ত ত্রুটির পরও পুরোনো তথ্যের রেফারেন্স থেকে গেলে নিরাপত্তা দুর্বলতা তৈরি হতে পারে। বিশেষভাবে তৈরি এইচটিটিপি অনুরোধ পাঠিয়ে আক্রমণকারীরা এ ধরনের দুর্বলতার সুযোগ নিতে পারে। সফল আক্রমণে সার্ভারে অননুমোদিত কোড চালানো এবং সংবেদনশীল তথ্য হাতিয়ে নেওয়ার আশঙ্কা রয়েছে।

ঝুঁকিতে যেসব ওয়েবসাইট ও সার্ভার

পিএইচপি-এফপিএম, অ্যাপাচির মড_পিএইচপি, পিএইচপি-সিজিআই, ফ্র্যাঙ্কেনপিএইচপি ও লাইটস্পিড ব্যবহারকারী সার্ভারগুলো বিশেষভাবে ঝুঁকির আওতায় রয়েছে। পিএইচপির মূল রানটাইমে থাকা ত্রুটিগুলো ওয়েবসাইটের অ্যাপ্লিকেশন স্তরের বাইরেও প্রভাব ফেলতে পারে। তাই শুধু ওয়েবসাইটের সফটওয়্যার বা কনটেন্ট ম্যানেজমেন্ট সিস্টেম হালনাগাদ করলেই ঝুঁকি দূর হবে না; সার্ভারে চালু পিএইচপির সংস্করণও যাচাই করা প্রয়োজন।

সরকারি পোর্টাল, বিশ্ববিদ্যালয়ের ওয়েবসাইট, ব্যাংকিং সেবা, ই-কমার্স প্ল্যাটফর্ম এবং ওয়ার্ডপ্রেস ও লারাভেলভিত্তিক ওয়েবসাইটগুলোও ঝুঁকির মধ্যে পড়তে পারে। একই সার্ভারে একাধিক ওয়েবসাইট পরিচালনা, শেয়ার্ড হোস্টিং এবং ডকার কনটেইনারে পিএইচপি ব্যবহার করা হলে সংশ্লিষ্ট অবকাঠামোর নিরাপত্তা পরিস্থিতিও পরীক্ষা করা জরুরি। তবে কোনো ওয়েবসাইট পিএইচপি ব্যবহার করে বলেই সেটি আক্রান্ত হয়েছে, এমন সিদ্ধান্তে পৌঁছানোর সুযোগ নেই; ঝুঁকি নির্ভর করছে ব্যবহৃত সংস্করণ, সার্ভার কনফিগারেশন এবং নিরাপত্তা সংশোধন কার্যকর হয়েছে কি না, তার ওপর।

সফল হামলায় সার্ভারের নিয়ন্ত্রণ চলে যাওয়ার পাশাপাশি গুরুত্বপূর্ণ ফাইল ও ডেটাবেজের তথ্য চুরি হতে পারে। ডেটাবেজে প্রবেশের পাসওয়ার্ড, এপিআই কি এবং অন্যান্য গোপন তথ্য ফাঁস হলে সংশ্লিষ্ট প্রতিষ্ঠানের অন্যান্য অনলাইন সেবাও ঝুঁকিতে পড়তে পারে। পাশাপাশি ওয়েবসাইটের তথ্য পরিবর্তন, সেবা ব্যাহত করা কিংবা সার্ভার অচল করে দেওয়ার মতো ঘটনাও ঘটতে পারে। এ কারণে নিরাপত্তা বিশেষজ্ঞদের কাছে শুধু ওয়েবসাইট সচল রাখার চেয়ে সার্ভারের পূর্ণাঙ্গ নিরাপত্তা যাচাই গুরুত্বপূর্ণ হয়ে উঠেছে।

আরও পড়ুন: পিএইচপি ত্রুটির ঝুঁকিতে বন্ধ বাংলাদেশ ব্যাংকের ওয়েবসাইট

নিরাপদ সংস্করণে হালনাগাদের পরামর্শ

ঝুঁকি মোকাবিলায় পিএইচপির নিরাপদ সংস্করণে দ্রুত হালনাগাদ করার পরামর্শ দিয়েছে সংশ্লিষ্ট কর্তৃপক্ষ। প্রকাশিত নিরাপত্তা সংস্করণগুলো হলো পিএইচপি ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ ও ৮.২.৩৫। যে সংস্করণটি সংশ্লিষ্ট সার্ভারে ব্যবহৃত হচ্ছে, তার উপযোগী সংশোধিত সংস্করণ ইনস্টল করতে হবে। হালনাগাদের পর পিএইচপি-এফপিএমসহ সংশ্লিষ্ট প্রসেস বা সার্ভিস পুনরায় চালু করে নিরাপত্তা সংশোধন কার্যকর হয়েছে কি না, তা নিশ্চিত করাও প্রয়োজন।

তাৎক্ষণিকভাবে হালনাগাদ করা সম্ভব না হলে সার্ভারে প্রবেশাধিকার সীমিত রাখা, ভিপিএনের মাধ্যমে নির্দিষ্ট নিরাপদ সংযোগ ব্যবহার এবং অনুমোদিত আইপি ঠিকানা ছাড়া অন্য ঠিকানা থেকে প্রবেশ বন্ধ রাখার মতো সাময়িক ব্যবস্থা নেওয়া যেতে পারে। পাশাপাশি সার্ভারের লগ নিয়মিত পরীক্ষা করে অস্বাভাবিক অনুরোধ, অননুমোদিত প্রবেশ কিংবা সন্দেহজনক কার্যক্রমের চিহ্ন খুঁজতে হবে। কোনো অনুপ্রবেশের সন্দেহ দেখা দিলে সংশ্লিষ্ট সার্ভার ও অ্যাপ্লিকেশনের ফরেনসিক পরীক্ষা করে ক্ষয়ক্ষতির পরিধি নির্ধারণ করা জরুরি।

তবে এসব নিয়ন্ত্রণমূলক ব্যবস্থা নিরাপত্তা দুর্বলতার স্থায়ী সমাধান নয়। পিএইচপির মূল রানটাইম সংশোধিত সংস্করণে হালনাগাদ করাই প্রধান প্রতিকার। একই সঙ্গে গুরুত্বপূর্ণ তথ্যের ব্যাকআপ, গোপন সংকেত পরিবর্তন এবং সার্ভারের নিরাপত্তা পুনর্মূল্যায়নের মাধ্যমে ভবিষ্যৎ ঝুঁকি কমানো প্রয়োজন।

বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ

পিএইচপির নিরাপত্তা ত্রুটি নিয়ে সতর্কতার মধ্যে বাংলাদেশ ব্যাংকের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছে বলে প্রতিবেদনে উল্লেখ করা হয়েছে। কেন্দ্রীয় ব্যাংকের মুখপাত্র আরিফ হোসেন খানের বরাতে জানানো হয়, জরুরি নিরাপত্তাজনিত সমস্যার কারণে ওয়েবসাইটটি বন্ধ রাখা হয়েছে এবং দুর্বলতা শনাক্ত ও সমাধানে সংশ্লিষ্ট প্রযুক্তিবিদেরা কাজ করছেন। নিরাপত্তা পরিস্থিতি বিশ্লেষণের পর ওয়েবসাইটটি পুনরায় চালুর বিষয়ে সিদ্ধান্ত নেওয়া হবে।

পিএইচপির এই ত্রুটি বাংলাদেশের জন্যও গুরুত্বপূর্ণ সতর্কবার্তা। সরকারি প্রতিষ্ঠান থেকে শুরু করে আর্থিক সেবা, অনলাইন বাণিজ্য ও অন্যান্য ডিজিটাল প্ল্যাটফর্মের ক্ষেত্রে নিয়মিত সফটওয়্যার হালনাগাদ, সার্ভার পর্যবেক্ষণ এবং নিরাপত্তা দুর্বলতা দ্রুত শনাক্ত করার ব্যবস্থা থাকা জরুরি। বিশেষ করে পিএইচপির মতো বহুল ব্যবহৃত প্রযুক্তির মূল স্তরে ত্রুটি দেখা দিলে শুধু অ্যাপ্লিকেশনভিত্তিক নিরাপত্তা দিয়ে পুরো ঝুঁকি মোকাবিলা করা সম্ভব নয়। তাই সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে নিজেদের সার্ভারের সংস্করণ যাচাই, প্রয়োজনীয় নিরাপত্তা সংশোধন প্রয়োগ এবং অনুপ্রবেশের সম্ভাব্য চিহ্ন পরীক্ষা করার মাধ্যমে দ্রুত প্রতিরোধমূলক ব্যবস্থা নিতে হবে।