পিএইচপিতে নতুন একটি নিরাপত্তাত্রুটি শনাক্ত হয়েছে। এতে দেশের পাঁচ শতাধিক ওয়েবসাইট ঝুঁকিতে পড়েছে। এসব ওয়েবসাইটের মধ্যে সরকারি ও বেসরকারি প্রতিষ্ঠানের সাইট রয়েছে। নতুন এই ত্রুটি নিয়ে সতর্ক করেছে সরকারের সাইবার নিরাপত্তাসংশ্লিষ্ট সংস্থা বিজিডি ই-গভ সার্ট।
সংস্থাটির সূত্র বলছে, পাঁচ শতাধিক ওয়েবসাইট ও অ্যাপে পিএইচপির পুরোনো সংস্করণ ব্যবহার করা হচ্ছে। সতর্ক করার পরও সাইটগুলোতে সংস্করণ হালনাগাদ করা হয়নি। এমন পরিস্থিতিতে দেশের ডিজিটাল সেবার নিরাপত্তা ব্যবস্থাপনা নিয়ে নতুন করে উদ্বেগ তৈরি হয়েছে।
পিএইচপি হলো ‘হাইপারটেক্সট প্রিপ্রসেসর’–এর সংক্ষিপ্ত রূপ। এটি একটি ‘প্রোগ্রামিং ল্যাঙ্গুয়েজ’, যা ব্যাক-এন্ড বা নেপথ্যে থেকে কাজ করে। বিবিসির এক প্রতিবেদনে সাইবার নিরাপত্তা প্রতিষ্ঠান উইজের বরাত দিয়ে সম্প্রতি বলা হয়, বিশ্বজুড়ে যত ওয়েবসাইট আছে, তার ৭০ শতাংশ পরিচালনা করা হয় পিএইচপি দিয়ে।
সার্টের সাইবার থ্রেট ইন্টেলিজেন্স ইউনিটের নজরদারিতে ধরা পড়েছে, পাঁচ শতাধিক ওয়েবসাইট ঝুঁকিতে রয়েছে। বেশির ভাগই বেসরকারি প্রতিষ্ঠানের ওয়েবসাইট। তবে আর্থিক এবং জনগুরুত্বপূর্ণ সরকারি ওয়েবসাইটও এই ঝুঁকিতে রয়েছে।
কৃত্রিম বুদ্ধিমত্তার (এআই) সাহায্যে গত সপ্তাহে পিএইচপিতে দুটি ত্রুটি শনাক্ত করেন যুক্তরাষ্ট্রের দুটি সাইবার নিরাপত্তা প্রতিষ্ঠানের একদল গবেষক। প্রতিষ্ঠান দুটি হলো ক্যালিফ ও উইজ। ২১ অক্টোবর বিশ্বজুড়ে জরুরি ‘সিকিউরিটি আপডেট’ প্রকাশ করে পিএইচপির উন্নয়নকারী দল। এতে দুটি গুরুতর ত্রুটি সংশোধন করা হয়। পিএইচপি কর্তৃপক্ষ ২৩ অক্টোবর আরেকটি ত্রুটি শনাক্তের কথা জানিয়েছে।
নতুন এই ত্রুটি পিএইচপির সেশন ব্যবস্থাপনা ও ফাইল আপলোডের অগ্রগতি পর্যবেক্ষণের একটি বিশেষ ব্যবস্থার সঙ্গে সম্পর্কিত। বিশেষজ্ঞেরা বলছেন, এই দুর্বলতা কাজে লাগিয়ে হামলাকারীরা সার্ভারে অননুমোদিত নির্দেশনা চালানোর সুযোগ পেতে পারে।
এদিকে এ বিষয়ে গতকাল সার্ট একটি সতর্কবার্তা দিয়েছে। এতে বলা হয়েছে, নতুন ত্রুটির জন্য এখনো নিরাপত্তা সংশোধনী প্রকাশিত হয়নি। কোন কোন সংস্করণ আক্রান্ত এবং ঝুঁকির চূড়ান্ত মাত্রা কত, তা–ও নির্ধারিত হয়নি। এ অবস্থায় সংস্থাটি সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে পিএইচপির ‘সেশন আপলোড প্রগ্রেস’–সুবিধা সাময়িক বন্ধ রাখা, সার্ভারের প্রয়োজনীয় সেবা আবার চালু করা, সফটওয়্যারের বিন্যাস পরীক্ষা করা এবং সন্দেহজনক কার্যক্রম পর্যবেক্ষণের পরামর্শ দিয়েছে।
ওয়েবসাইটগুলো হালনাগাদ করা হলে এই ঝুঁকি কমে আসবে। তবে এ পর্যন্ত শনাক্ত হওয়া ওয়েবসাইটের সংখ্যা উদ্বেগজনক।
পাঁচ শতাধিক ওয়েবসাইট ঝুঁকিতে
পিএইচপির দুটি গুরুতর নিরাপত্তা ত্রুটিকে কেন্দ্র করে বিশ্বজুড়ে সাইবার নিরাপত্তা নিয়ে উদ্বেগ তৈরি হয়। বাংলাদেশেও বিভিন্ন ওয়েবসাইট বন্ধ করে দেওয়া হয়েছিল, পরে তা চালু হয়।
সার্টের সাইবার থ্রেট ইন্টেলিজেন্স ইউনিটের নজরদারিতে ধরা পড়েছে, পাঁচ শতাধিক ওয়েবসাইট ঝুঁকিতে রয়েছে। বেশির ভাগই বেসরকারি প্রতিষ্ঠানের ওয়েবসাইট। তবে আর্থিক এবং জনগুরুত্বপূর্ণ সরকারি ওয়েবসাইটও এই ঝুঁকিতে রয়েছে।
জানতে চাইলে সার্টের প্রকল্প পরিচালক নাজমুল হক খন্দকার মুক্তকণ্ঠকে বলেন, ‘ওয়েবসাইটগুলো হালনাগাদ করা হলে এই ঝুঁকি কমে আসবে। তবে এ পর্যন্ত শনাক্ত হওয়া ওয়েবসাইটের সংখ্যা উদ্বেগজনক।’
অনেকে ওয়েবসাইট সচল থাকাকেই নিরাপদ থাকার লক্ষণ মনে করে। এ কারণে নিয়মিত সফটওয়্যার হালনাগাদ ও নিরাপত্তা ত্রুটি সংশোধনের বিষয়ে গাফিলতি করে; কিন্তু নিরাপত্তা ব্যবস্থা হালনাগাদ করা জরুরি।
সতর্কবার্তা মানা হচ্ছে না
সার্টের একাধিক কর্মকর্তা জানান, এখনো সরকারি-বেসরকারি প্রতিষ্ঠানের ওয়েবসাইটে পুরোনো ও ঝুঁকিপূর্ণ পিএইচপি সংস্করণ ব্যবহার করা হচ্ছে। সতর্ক করার পরও প্রতিষ্ঠানগুলো নিরাপত্তা সংশোধনের নিশ্চয়তা দেয়নি। এতে নাগরিকদের গুরুত্বপূর্ণ তথ্য চুরি এবং সাইবার হামলার আশঙ্কাও করছেন তারা।
একটি বেসরকারি হোস্টিং কোম্পানির প্রধান প্রযুক্তি কর্মকর্তা (সিটিও) জুনায়েদ মিয়াজী মুক্তকণ্ঠকে বলেন, অনেকে ওয়েবসাইট সচল থাকাকেই নিরাপদ থাকার লক্ষণ মনে করে। এ কারণে নিয়মিত সফটওয়্যার হালনাগাদ ও নিরাপত্তা ত্রুটি সংশোধনের বিষয়ে গাফিলতি করে; কিন্তু নিরাপত্তা ব্যবস্থা হালনাগাদ করা জরুরি।
এসব সতর্কবার্তার পর সংশ্লিষ্ট প্রতিষ্ঠানগুলো দুর্বলতা কতটা দ্রুত সংশোধন করছে এবং নিরাপত্তাব্যবস্থা যথাযথভাবে অনুসরণ করছে কি না, তা নিশ্চিত করার ব্যবস্থা কতটা কার্যকর, সেই প্রশ্ন রয়েছে।
ওয়েবসাইটের নিরাপত্তা দেখবে কে
দেশের ডিজিটাল অবকাঠামোর নিরাপত্তায় জাতীয় সাইবার সুরক্ষা এজেন্সি এবং বাংলাদেশ কম্পিউটার কাউন্সিলের অধীন বিজিডি ই-গভ সার্টের ভূমিকা রয়েছে। সার্ট সাইবার হুমকি শনাক্ত করা এবং নিরাপত্তা ত্রুটি সম্পর্কে সতর্কবার্তা দেওয়ার কাজ করে। তবে এসব সতর্কবার্তার পর সংশ্লিষ্ট প্রতিষ্ঠানগুলো দুর্বলতা কতটা দ্রুত সংশোধন করছে এবং নিরাপত্তাব্যবস্থা যথাযথভাবে অনুসরণ করছে কি না, তা নিশ্চিত করার ব্যবস্থা কতটা কার্যকর, সেই প্রশ্ন রয়েছে।
তথ্যপ্রযুক্তি–বিশেষজ্ঞ সুমন আহমেদ সাবির মুক্তকণ্ঠকে বলেন, একটি ওয়েবসাইটের নিরাপত্তার দায়িত্ব সংশ্লিষ্ট প্রতিষ্ঠানের; কিন্তু শুধু দায়িত্ব নির্ধারণ করলেই হবে না, প্রতিষ্ঠানগুলো নিরাপত্তাব্যবস্থা ঠিকভাবে অনুসরণ করছে কি না, তা যাচাইয়ের ব্যবস্থাও থাকতে হবে। জাতীয় পর্যায়ে সাইবার নিরাপত্তার মানদণ্ড নির্ধারণ এবং তা অনুসরণ করা হচ্ছে কি না, সেটি নিশ্চিত করার কাঠামোও প্রয়োজন।