বিশ্বজুড়ে ওয়েবসাইট ও ওয়েব সার্ভারের নিরাপত্তা নিয়ে নতুন উদ্বেগ তৈরি হয়েছে PHP প্রোগ্রামিং ভাষার দুটি গুরুতর নিরাপত্তা দুর্বলতা শনাক্ত হওয়ার পর। ‘PHP2Shell’ নামে আলোচিত এই দুর্বলতাগুলো কাজে লাগিয়ে কোনো কোনো পরিস্থিতিতে সাইবার হামলাকারীরা লগইন ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে। ২১ অক্টোবর ২০২৬ তারিখে PHP প্রকল্পের রক্ষণাবেক্ষণকারীরা নিরাপত্তা আপডেট প্রকাশ করেন। https://www.php.net/archive/2026.php
কী এই PHP2Shell দুর্বলতা?
নিরাপত্তা দুর্বলতা দুটি হলো CVE-2026-109618 এবং CVE-2026-109619। উভয়টির CVSS v4.0 স্কোর ৯.২, যা গুরুতর ঝুঁকি নির্দেশ করে। https://www.cirt.gov.bd/advisories/php-oct-2026
প্রথম দুর্বলতাটি PHP-তে মেমোরি সংকট বা Out-of-Memory (OOM) পরিস্থিতি সামলানোর প্রক্রিয়ার সঙ্গে সম্পর্কিত। দ্বিতীয়টি মেমোরি মুক্ত করার পরও কিছু অভ্যন্তরীণ তথ্যের রেফারেন্স থেকে যাওয়ার সমস্যার সঙ্গে যুক্ত। নির্দিষ্ট পরিস্থিতিতে এসব ত্রুটি কাজে লাগিয়ে দূর থেকে কোড চালানো সম্ভব হতে পারে।
যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার (NCSC) এবং বাংলাদেশের BGD e-GOV CIRT—উভয় সংস্থাই এ বিষয়ে সতর্কতা প্রকাশ করেছে। https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php
কোন ওয়েবসাইটগুলো ঝুঁকিতে?
PHP ব্যবহার করে তৈরি ওয়েবসাইট ও অ্যাপ্লিকেশন এ ঝুঁকির আওতায় আসতে পারে। এর মধ্যে রয়েছে WordPress, Drupal ও Joomla-ভিত্তিক ওয়েবসাইট, ই-কমার্স প্ল্যাটফর্ম, সরকারি পোর্টাল এবং বিভিন্ন ওয়েব অ্যাপ্লিকেশন।
ঝুঁকিটি শুধু পুরোনো PHP সংস্করণে সীমাবদ্ধ নয়। PHP-FPM, Apache-এর mod_php, php-cgi এবং LiteSpeed-সহ বিভিন্ন পরিবেশে PHP চালানো সার্ভার পরীক্ষা করা জরুরি। বিশেষ করে mod_php পরিবেশে অ্যাপ্লিকেশনের কোড চালুর আগেই আক্রমণ ঘটানোর প্রদর্শিত পদ্ধতি নিয়ে উদ্বেগ রয়েছে। তবে কোনো নির্দিষ্ট ওয়েবসাইট আক্রান্ত হয়েছে কি না, তা আলাদাভাবে যাচাই করতে হবে।
সমাধান: কোন PHP ভার্সনে আপডেট করতে হবে?
PHP প্রকল্পের প্রকাশিত নিরাপত্তা নির্দেশনা অনুযায়ী, সংশ্লিষ্ট শাখাগুলোর জন্য নিচের সংস্করণগুলোতে সংশোধন অন্তর্ভুক্ত করা হয়েছে। https://www.php.net/
| বর্তমান PHP শাখা | নিরাপদ সংশোধিত সংস্করণ |
|---|---|
| PHP 8.5.x | 8.5.12 বা পরবর্তী সংশোধিত সংস্করণ |
| PHP 8.4.x | 8.4.27 বা পরবর্তী সংশোধিত সংস্করণ |
| PHP 8.3.x | 8.3.36 বা পরবর্তী সংশোধিত সংস্করণ |
| PHP 8.2.x | 8.2.35 বা পরবর্তী সংশোধিত সংস্করণ |
PHP 8.1 ও তার আগের সংস্করণগুলো PHP প্রকল্প থেকে নিয়মিত নিরাপত্তা আপডেট পায় না। এসব সংস্করণ ব্যবহারকারীদের সমর্থিত সংস্করণে স্থানান্তর অথবা নিজস্ব ডিস্ট্রিবিউশন বা হোস্টিং সরবরাহকারীর কাছ থেকে সংশোধিত প্যাকেজের তথ্য নিতে হবে।
WordPress ও cPanel ব্যবহারকারীদের করণীয়
১. PHP সংস্করণ পরীক্ষা করুন: cPanel-এর MultiPHP Manager বা হোস্টিংয়ের সমতুল্য প্যানেল থেকে ওয়েবসাইটের PHP সংস্করণ শনাক্ত করুন।
২. হোস্টিং সরবরাহকারীর সঙ্গে যোগাযোগ করুন: প্রয়োজনীয় সংশোধিত সংস্করণ পাওয়া গেলে সেটিতে আপডেট করুন। শেয়ার্ড হোস্টিংয়ে সার্ভারের PHP রানটাইম আপডেট করার জন্য হোস্টিং প্রতিষ্ঠানের সহায়তা প্রয়োজন হতে পারে।
৩. ওয়েবসাইট পরীক্ষা করুন: PHP আপডেটের পর WordPress অ্যাডমিন প্যানেল, থিম, প্লাগইন, ফর্ম, আপলোড এবং গুরুত্বপূর্ণ ফিচারগুলো পরীক্ষা করুন। আপডেটের আগে ব্যাকআপ রাখুন।
৪. সন্দেহজনক কার্যকলাপ যাচাই করুন: সার্ভারের লগ পরীক্ষা করে অস্বাভাবিক অনুরোধ, অপরিচিত ফাইল, নতুন অ্যাডমিন অ্যাকাউন্ট, অপ্রত্যাশিত প্রসেস এবং সন্দেহজনক বহির্গামী সংযোগ খুঁজুন। আপডেট করলেই আগে থেকে ঘটে যাওয়া অনুপ্রবেশের প্রমাণ মুছে যায় না।
৫. তাৎক্ষণিক আপডেট সম্ভব না হলে: হোস্টিং সরবরাহকারীর সঙ্গে জরুরি ভিত্তিতে যোগাযোগ করুন। সাময়িক নিরাপত্তাব্যবস্থা ঝুঁকি কমাতে পারে, কিন্তু সংশোধিত PHP সংস্করণে আপডেটের বিকল্প নয়। প্রয়োজন হলে ঝুঁকিপূর্ণ সার্ভার সাময়িকভাবে ইন্টারনেট থেকে বিচ্ছিন্ন রাখার বিষয়টি বিবেচনা করতে হবে।
শেষ কথা
PHP2Shell দুর্বলতা দেখিয়ে দিয়েছে, ওয়েবসাইটের নিরাপত্তা শুধু শক্তিশালী পাসওয়ার্ড বা আপডেট করা WordPress প্লাগইনের ওপর নির্ভর করে না; সার্ভারের PHP রানটাইমও নিয়মিত নিরাপত্তা আপডেটের আওতায় রাখতে হয়। ওয়েবসাইট মালিক, ডেভেলপার ও হোস্টিং প্রতিষ্ঠানগুলোর উচিত দ্রুত ব্যবহৃত PHP সংস্করণ যাচাই করা, প্রয়োজনীয় প্যাচ প্রয়োগ করা এবং সম্ভাব্য অনুপ্রবেশের লক্ষণ পর্যবেক্ষণ করা।
তথ্যসূত্র: PHP.net, BGD e-GOV CIRT এবং যুক্তরাজ্যের NCSC-এর প্রকাশিত নিরাপত্তা নির্দেশনা।
