৫০০টির বেশি ওয়েবসাইট সাইবার ঝুঁকিতে, আপডেট না করলে ফাঁস হতে পারে তথ্য

বাংলাদেশে সরকারি ও বেসরকারি প্রতিষ্ঠানের ৫০০টির বেশি ওয়েবসাইট ও অ্যাপে পুরোনো PHP সংস্করণ ব্যবহারের কারণে সাইবার নিরাপত্তা ঝুঁকি তৈরি হয়েছে। প্রয়োজনীয় নিরাপত্তা হালনাগাদ না করায় এসব ডিজিটাল সেবায় অননুমোদিত প্রবেশ, সংবেদনশীল তথ্য ফাঁস এবং সার্ভার নিয়ন্ত্রণে নেওয়ার আশঙ্কা রয়েছে। এ পরিস্থিতিতে সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে দ্রুত নিরাপত্তা ব্যবস্থা পর্যালোচনা ও প্রয়োজনীয় সংশোধনের নির্দেশনা দিয়েছে সরকারের সাইবার নিরাপত্তা সংস্থা BGD e-GOV CIRT।

পুরোনো সফটওয়্যারে বাড়ছে ঝুঁকি

BGD e-GOV CIRT-এর সাইবার থ্রেট ইন্টেলিজেন্স ইউনিটের পর্যবেক্ষণে সরকারি, জনসেবামূলক ও বেসরকারি প্রতিষ্ঠানের ইন্টারনেট-সংযুক্ত ওয়েবসাইটে পুরোনো, নিরাপত্তা ত্রুটিযুক্ত অথবা মেয়াদোত্তীর্ণ PHP সংস্করণের ব্যবহার শনাক্ত হয়েছে। ২৫ অক্টোবর প্রকাশিত এক সতর্কবার্তায় সংস্থাটি জানায়, আগের বিজ্ঞপ্তি দেওয়ার পরও বেশ কয়েকটি প্রতিষ্ঠান প্রয়োজনীয় ব্যবস্থা নেওয়ার বিষয়টি নিশ্চিত করেনি।প্রথম আলোর ইংরেজি সংস্করণের প্রতিবেদনে সংস্থাটির সূত্রের বরাতে বলা হয়েছে, ঝুঁকিতে থাকা ওয়েবসাইট ও অ্যাপের সংখ্যা ৫০০-এর বেশি। এর অধিকাংশই বেসরকারি প্রতিষ্ঠানের বলে প্রতিবেদনে উল্লেখ করা হয়েছে। তবে সরকারি সংস্থার প্রকাশিত সতর্কবার্তায় প্রতিষ্ঠানগুলোর নাম কিংবা ঝুঁকিপূর্ণ ওয়েবসাইটের সুনির্দিষ্ট সংখ্যা প্রকাশ করা হয়নি।

কীভাবে হতে পারে সাইবার হামলা

ওয়েবসাইট তৈরির বহুল ব্যবহৃত প্রোগ্রামিং ভাষা PHP। এটি ওয়েবসাইটের পেছনের অংশে কাজ করে এবং ব্যবহারকারীর অনুরোধ প্রক্রিয়াকরণ, তথ্য আদান-প্রদান ও ডেটাবেজের সঙ্গে যোগাযোগের মতো কাজে ব্যবহৃত হয়। এই সফটওয়্যারের নিরাপত্তা ত্রুটি কাজে লাগাতে পারলে আক্রমণকারীরা কোনো কোনো ক্ষেত্রে সার্ভারে অননুমোদিত নির্দেশ চালাতে পারে।

CIRT-এর সতর্কবার্তা অনুযায়ী, দুর্বলতা কাজে লাগানো সম্ভব হলে ওয়েবসাইটে অননুমোদিত প্রবেশ, সংবেদনশীল তথ্য চুরি, সার্ভারের নিয়ন্ত্রণ হারানো এবং অনলাইন সেবা বন্ধ হয়ে যাওয়ার ঝুঁকি রয়েছে। আক্রান্ত সার্ভার ব্যবহার করে পরবর্তী সময়ে অন্য সিস্টেমেও হামলার চেষ্টা হতে পারে। তবে শুধু পুরোনো PHP সংস্করণ ব্যবহার করা হচ্ছে বলেই কোনো ওয়েবসাইটে ইতিমধ্যে হামলা হয়েছে, এমন সিদ্ধান্তে পৌঁছানোর সুযোগ নেই। প্রকৃত ঝুঁকি নির্ভর করে ব্যবহৃত সংস্করণ, নিরাপত্তা প্যাচ, সার্ভারের বিন্যাস ও ইন্টারনেটে সেটির উন্মুক্ততার ওপর।

PHP-তে নতুন নিরাপত্তা ত্রুটি শনাক্ত

২২ অক্টোবর PHP-তে দুটি গুরুতর নিরাপত্তা ত্রুটি নিয়ে সতর্কতা জারি করে BGD e-GOV CIRT। ‘PHP2Shell’ নামে আলোচিত ত্রুটিগুলো কাজে লাগিয়ে নির্দিষ্ট পরিস্থিতিতে ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর নির্দেশ চালানো সম্ভব হতে পারে। পরবর্তী সময়ে ২৭ অক্টোবর PHP-এর সেশন ব্যবস্থাপনা ও ফাইল আপলোডের অগ্রগতি পর্যবেক্ষণ-সংশ্লিষ্ট আরেকটি দুর্বলতা নিয়েও সতর্কতা প্রকাশ করে সংস্থাটি।

নতুন ত্রুটিটি CVE-2026-115560 নামে চিহ্নিত। CIRT-এর তথ্য অনুযায়ী, নির্দিষ্ট কিছু অ্যাপ্লিকেশন কনফিগারেশনের সঙ্গে PHP-এর session.upload_progress সুবিধা চালু থাকলে দূর থেকে কোড চালানোর ঝুঁকি তৈরি হতে পারে। তবে ২৭ অক্টোবর প্রকাশিত বিজ্ঞপ্তির সময় পর্যন্ত ত্রুটিটির প্রভাবিত সংস্করণগুলোর পূর্ণ তালিকা ও চূড়ান্ত ঝুঁকির মাত্রা নির্ধারিত হয়নি। ওই বিজ্ঞপ্তিতে এ ত্রুটি কাজে লাগিয়ে হামলার কোনো ঘটনার তথ্যও উল্লেখ করা হয়নি।

প্রতিষ্ঠানগুলোকে যেসব পদক্ষেপ নিতে বলেছে CIRT

সাইবার ঝুঁকি কমাতে সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে সব ইন্টারনেট-সংযুক্ত ওয়েবসাইট, সার্ভার, কনটেইনার ও হোস্টিং পরিবেশে ব্যবহৃত PHP সংস্করণ পরীক্ষা করতে বলেছে সংস্থাটি। নিরাপত্তা ত্রুটি রয়েছে এমন সংস্করণে প্রয়োজনীয় প্যাচ প্রয়োগ অথবা সমর্থিত ও নিরাপদ সংস্করণে উন্নীত করার পরামর্শ দেওয়া হয়েছে।

তাৎক্ষণিকভাবে সফটওয়্যার হালনাগাদ করা সম্ভব না হলে ভার্চুয়াল প্রাইভেট নেটওয়ার্ক (ভিপিএন), নির্দিষ্ট আইপি ঠিকানাভিত্তিক প্রবেশাধিকার নিয়ন্ত্রণ কিংবা অপ্রয়োজনীয় ইন্টারনেট সংযোগ বন্ধ রাখার মতো সাময়িক ব্যবস্থা নিতে বলা হয়েছে। পাশাপাশি সার্ভারের লগ পরীক্ষা, সন্দেহজনক অনুরোধ শনাক্ত, অনুমতি ছাড়া ফাইল পরিবর্তন হয়েছে কি না তা যাচাই এবং অস্বাভাবিক বহির্মুখী সংযোগ পর্যবেক্ষণের নির্দেশনা দিয়েছে CIRT।

২৭ অক্টোবরের পৃথক সতর্কবার্তায় নতুন PHP দুর্বলতার ক্ষেত্রে session.upload_progress সুবিধা সাময়িকভাবে বন্ধ রাখার পরামর্শও দেওয়া হয়েছে। তবে এটি নির্দিষ্ট ত্রুটির জন্য একটি অন্তর্বর্তী ব্যবস্থা। প্রতিষ্ঠানের কারিগরি দলকে অ্যাপ্লিকেশনের কনফিগারেশন যাচাই করে প্রযোজ্য নিরাপত্তা নির্দেশনা অনুসরণ করতে হবে।

হোস্টিং প্রতিষ্ঠানেরও দায়িত্ব রয়েছে

অনেক প্রতিষ্ঠান নিজেদের সার্ভার পরিচালনা না করে তৃতীয় পক্ষের হোস্টিং সেবা ব্যবহার করে। এ ক্ষেত্রেও নিরাপত্তার দায়িত্ব এড়িয়ে যাওয়ার সুযোগ নেই। CIRT জানিয়েছে, ওয়েবসাইট অন্য কোনো সেবাদাতা প্রতিষ্ঠানের সার্ভারে রাখা হলেও সংশ্লিষ্ট প্রতিষ্ঠানকে নিশ্চিত করতে হবে যে ব্যবহৃত PHP সংস্করণ ও অবকাঠামো নিরাপদ রয়েছে। প্রয়োজনে হোস্টিং সেবাদাতার সঙ্গে সমন্বয় করে নিরাপত্তা হালনাগাদ করতে হবে।

সাইবার নিরাপত্তা ঝুঁকি কমাতে নিয়মিত সফটওয়্যার হালনাগাদ, সার্ভারের দুর্বলতা পরীক্ষা এবং নিরাপত্তা সতর্কবার্তার পর দ্রুত ব্যবস্থা নেওয়া জরুরি। বিশেষ করে সরকারি সেবা, আর্থিক লেনদেন ও নাগরিকদের ব্যক্তিগত তথ্য সংরক্ষণকারী ওয়েবসাইটের ক্ষেত্রে এ ধরনের ত্রুটি অবহেলা করলে বড় ধরনের ক্ষতির আশঙ্কা তৈরি হতে পারে।

সরকারি ও বেসরকারি প্রতিষ্ঠানগুলো প্রয়োজনীয় সংশোধন করেছে কি না, তা যাচাই করাও এখন গুরুত্বপূর্ণ। কারণ শুধু সতর্কবার্তা জারি নয়, ঝুঁকিপূর্ণ সিস্টেমে কার্যকর নিরাপত্তা ব্যবস্থা বাস্তবায়ন এবং তা নিয়মিত পর্যবেক্ষণ করলেই ডিজিটাল সেবার নিরাপত্তা নিশ্চিত করা সম্ভব।