পিএইচপিতে গুরুতর নিরাপত্তা ত্রুটি, ঝুঁকিতে ওয়েবসাইট ও সার্ভার

বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হওয়ার পর বিশ্বজুড়ে ওয়েবসাইট ও সার্ভারের নিরাপত্তা নিয়ে উদ্বেগ তৈরি হয়েছে। এসব ত্রুটি কাজে লাগিয়ে হ্যাকাররা ব্যবহারকারীর অনুমতি ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে। পাশাপাশি সংবেদনশীল তথ্য হাতিয়ে নেওয়া এবং ওয়েবসাইটের কার্যক্রম ব্যাহত করার ঝুঁকিও রয়েছে। পরিস্থিতি মোকাবিলায় জরুরি নিরাপত্তা হালনাগাদ প্রকাশ করেছে পিএইচপি উন্নয়ন দল। সংশ্লিষ্ট সবাইকে দ্রুত নতুন সংস্করণ ব্যবহারের পরামর্শ দেওয়া হয়েছে।

গত ২১ অক্টোবর প্রকাশিত নিরাপত্তা বিজ্ঞপ্তিতে পিএইচপি কর্তৃপক্ষ জানায়, নতুন সংস্করণগুলোতে দুটি গুরুতর ত্রুটির সমাধান করা হয়েছে। নিরাপত্তা ত্রুটি দুটির শনাক্তকরণ নম্বর সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯। উভয় ত্রুটির ঝুঁকির মাত্রা সিভিএসএস স্কেলে ৯ দশমিক ২, যা গুরুতর হিসেবে বিবেচিত।

নিরাপত্তা গবেষণা প্রতিষ্ঠান উইজের গবেষকেরা কৃত্রিম বুদ্ধিমত্তার সহায়তায় পিএইচপির মূল কোডে এসব দুর্বলতা শনাক্ত করেন। গবেষকদের তথ্য অনুযায়ী, ত্রুটিগুলো পিএইচপির নিজস্ব ব্যবস্থার সঙ্গে সম্পর্কিত। ফলে শুধু ওয়েবসাইটের কোড বা প্লাগইন হালনাগাদ করলেই সমস্যার সমাধান হবে না; সার্ভারে ব্যবহৃত পিএইচপির সংস্করণও হালনাগাদ করতে হবে।

কী ধরনের ঝুঁকি তৈরি হয়েছে

প্রথম ত্রুটিটি সার্ভারের মেমোরি ব্যবস্থাপনার সঙ্গে সম্পর্কিত। কোনো অনুরোধ প্রক্রিয়াকরণের সময় মেমোরির সংকট তৈরি হলে পিএইচপির অভ্যন্তরীণ কিছু তথ্য অসম্পূর্ণ অবস্থায় থেকে যেতে পারে। পরে সেগুলো ভুলভাবে ব্যবহৃত হলে আক্রমণকারী সার্ভারে ক্ষতিকর কোড চালানোর সুযোগ পেতে পারে।

দ্বিতীয় ত্রুটিটি একবারের অনুরোধের পর মেমোরিতে থেকে যাওয়া পুরোনো অভ্যন্তরীণ তথ্যের সঙ্গে সম্পর্কিত। পরবর্তী অনুরোধ প্রক্রিয়াকরণের সময় এসব তথ্য ভুলভাবে ব্যবহৃত হলে সার্ভারের মেমোরিতে থাকা সংবেদনশীল তথ্য প্রকাশ কিংবা ক্ষতিকর কোড চালানোর ঝুঁকি তৈরি হতে পারে।

গবেষকেরা ওয়ার্ডপ্রেস, ড্রুপাল ও জুমলার মতো পিএইচপিনির্ভর ব্যবস্থায় ত্রুটিগুলোর প্রভাব পরীক্ষা করেছেন। ফলে শুধু একটি নির্দিষ্ট ওয়েবসাইট ব্যবস্থাপনা সফটওয়্যার নয়, আক্রান্ত পিএইচপি সংস্করণ ব্যবহারকারী বিভিন্ন ধরনের ওয়েবসাইট ঝুঁকিতে পড়তে পারে।

নিরাপত্তা নিশ্চিত করতে যা করতে হবে

পিএইচপি উন্নয়ন দল ২১ অক্টোবর নিরাপত্তা ত্রুটিগুলোর সমাধানসহ পিএইচপি ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ এবং ৮.২.৩৫ সংস্করণ প্রকাশ করেছে। সংশ্লিষ্ট শাখা ব্যবহারকারীদের উপযুক্ত সংশোধিত সংস্করণে দ্রুত হালনাগাদ করতে হবে। পুরোনো ও সমর্থনহীন সংস্করণ ব্যবহারকারীদের সমর্থিত সংস্করণে স্থানান্তর করা প্রয়োজন।

ওয়েবসাইট পরিচালকদের প্রথমে সার্ভারে কোন পিএইচপি সংস্করণ চলছে, তা শনাক্ত করতে হবে। এরপর হোস্টিং সেবা প্রদানকারী বা সার্ভার প্রশাসকের মাধ্যমে নিরাপত্তা হালনাগাদ নিশ্চিত করতে হবে। ক্লাউডফ্লেয়ারের মতো ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল অতিরিক্ত সুরক্ষা দিতে পারে, তবে এটি মূল সফটওয়্যার হালনাগাদের বিকল্প নয়।

সংশোধিত সংস্করণে দ্রুত স্থানান্তর সম্ভব না হলে ইন্টারনেটের সঙ্গে সরাসরি যুক্ত ঝুঁকিপূর্ণ সার্ভার সাময়িকভাবে বিচ্ছিন্ন রাখার বিষয়টি বিবেচনা করা উচিত। পাশাপাশি সার্ভারের লগ পরীক্ষা করে সন্দেহজনক কার্যক্রম, অননুমোদিত প্রবেশ ও সম্ভাব্য তথ্য চুরির লক্ষণ খুঁজতে হবে।

পিএইচপি বিশ্বজুড়ে বহুল ব্যবহৃত ওয়েব প্রযুক্তিগুলোর একটি। তাই এই নিরাপত্তা ত্রুটি ওয়েবসাইট পরিচালনাকারী প্রতিষ্ঠান, অনলাইন ব্যবসা, সংবাদমাধ্যম এবং ওয়েব হোস্টিং সেবাদাতাদের জন্য গুরুত্বপূর্ণ সতর্কবার্তা। দ্রুত নিরাপত্তা হালনাগাদ ও সার্ভার পর্যবেক্ষণই সম্ভাব্য ক্ষতি কমানোর সবচেয়ে গুরুত্বপূর্ণ পদক্ষেপ।