পিএইচপিতে নিরাপত্তাত্রুটি: দেশের পাঁচ শতাধিক ওয়েবসাইট ঝুঁকিতে

প্রোগ্রামিং ভাষা পিএইচপির নতুন নিরাপত্তাত্রুটির কারণে দেশের পাঁচ শতাধিক সরকারি ও বেসরকারি ওয়েবসাইট থেকে সাধারণ মানুষের সংবেদনশীল ব্যক্তিগত ও আর্থিক তথ্য চুরির আশঙ্কা তৈরি হয়েছে। সরকারের সাইবার নিরাপত্তাসংশ্লিষ্ট সংস্থা বিজিডি ই-গভ সার্ট এই পরিস্থিতি নিয়ে সংশ্লিষ্ট সব পক্ষকে সতর্ক করেছে। আজ বুধবার প্রথম আলোয় প্রকাশিত এক প্রতিবেদনে এ তথ্য জানানো হয়েছে।

সার্টের সাইবার থ্রেট ইন্টেলিজেন্স ইউনিটের তথ্য অনুযায়ী, ঝুঁকিতে থাকা পোর্টালগুলোর তালিকায় আর্থিক প্রতিষ্ঠান ও জনগুরুত্বপূর্ণ সরকারি দপ্তর ছাড়াও বিপুলসংখ্যক বেসরকারি প্রতিষ্ঠানের সাইট রয়েছে। বারবার তাগিদ দেওয়ার পরও এসব ওয়েবসাইটের পুরোনো ও অনিরাপদ পিএইচপি সংস্করণ পরিবর্তন করা হয়নি। ফলে সার্ভারে অননুমোদিত কোড বা নির্দেশনা পাঠিয়ে গ্রাহকের তথ্য হাতিয়ে নেওয়ার সুযোগ তৈরি হয়েছে।

যুক্তরাষ্ট্রের দুটি সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ ও উইজের গবেষকেরা কৃত্রিম বুদ্ধিমত্তার সাহায্যে পিএইচপিতে প্রথমে দুটি ত্রুটি শনাক্ত করেন। এর পরিপ্রেক্ষিতে ২১ অক্টোবর বিশ্বব্যাপী জরুরি নিরাপত্তা সংস্করণ প্রকাশ করে ত্রুটিগুলো সমাধান করে পিএইচপি কর্তৃপক্ষ। তবে ২৩ অক্টোবর সংস্থাটি নতুন আরেকটি ত্রুটির তথ্য প্রকাশ করে। বিশ্বের প্রায় ৭০ শতাংশ ওয়েবসাইট পিএইচপি প্রোগ্রামিং ভাষার মাধ্যমে পরিচালিত হয়।

নতুন এই দুর্বলতা মূলত পিএইচপির সেশন ব্যবস্থাপনা ও ফাইল আপলোড প্রক্রিয়ার বিশেষ ব্যবস্থার সঙ্গে সম্পৃক্ত। এই ত্রুটি সমাধানের কোনো আনুষ্ঠানিক নিরাপত্তা প্যাচ এখনো তৈরি করা সম্ভব হয়নি। উদ্ভূত পরিস্থিতিতে সার্ট প্রতিষ্ঠানগুলোকে ‘সেশন আপলোড প্রগ্রেস’ সুবিধা সাময়িক বন্ধ রাখা, সার্ভারের প্রয়োজনীয় সেবা পুনরায় চালু এবং পুরো সফটওয়্যার বিন্যাস গভীরভাবে পর্যবেক্ষণের নির্দেশনা দিয়েছে।

সার্টের প্রকল্প পরিচালক নাজমুল হক খন্দকার জানান, চিহ্নিত সাইটগুলো দ্রুত হালনাগাদ করা হলে ঝুঁকি অনেকাংশে কমে আসবে; তবে এখন পর্যন্ত আক্রান্ত হওয়ার ঝুঁকিতে থাকা ওয়েবসাইটের সংখ্যা অনেক বেশি।

একটি বেসরকারি হোস্টিং কোম্পানির প্রধান প্রযুক্তি কর্মকর্তা জুনায়েদ মিয়াজী উল্লেখ করেন, অনেকেই ওয়েবসাইট সচল থাকাকে নিরাপদ মনে করে নিরাপত্তা ব্যবস্থা হালনাগাদ করার বিষয়ে গাফিলতি করে। অথচ সার্বক্ষণিক সুরক্ষায় নিয়মিত সফটওয়্যার আপডেট অপরিহার্য।

দেশে ওয়েবসাইট সুরক্ষার তদারকিতে জাতীয় সাইবার সুরক্ষা এজেন্সি ও বিজিডি ই-গভ সার্ট সক্রিয় থাকলেও সংস্থাগুলোর সতর্কবার্তা প্রতিষ্ঠানগুলো কতটা কার্যকরভাবে প্রতিপালন করছে, তা নজরদারির ঘাটতি রয়েছে। এ প্রসঙ্গে তথ্যপ্রযুক্তি বিশেষজ্ঞ সুমন আহমেদ সাবির জানান, প্রতিটি ওয়েবসাইটের সুরক্ষার মূল দায়িত্ব সংশ্লিষ্ট প্রতিষ্ঠানের হলেও জাতীয় পর্যায়ের সাইবার নিরাপত্তা মানদণ্ড মানা হচ্ছে কি না, তা যাচাইয়ের একটি স্থায়ী তদারকি কাঠামো থাকা প্রয়োজন।