বাংলা ট্রিবিউন অনুযায়ী, জনপ্রিয় প্রোগ্রামিং ভাষা PHP-এ দুটি অত্যন্ত ঝুঁকিপূর্ণ নিরাপত্তা ত্রুটি শনাক্ত হয়েছে, যাকে একত্রে ‘PHP2Shell’ বলা হচ্ছে। এ বিষয়ে আজ উচ্চ সতর্কতা জারি করেছে বাংলাদেশ সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম (BD iGov CERT)।
সংস্থাটি জানিয়েছে, ত্রুটি দুটির CVE আইডি হলো CVE-2026-109618 ও CVE-2026-109619, যার CVSS স্কোর 9.2, যা সর্বোচ্চ ঝুঁকিপূর্ণ হিসেবে ধরা হয়। এই ত্রুটি ব্যবহার করে কোনও হ্যাকার কোনও ইউজারনেম বা পাসওয়ার্ড ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে।
সার্টের পরামর্শ অনুযায়ী, সমস্যাটি PHP-এর মেমোরি ব্যবস্থাপনায়। মেমোরি শেষ হয়ে গেলে বা মেমোরি মুক্ত হওয়ার পরও পুরোনো রিকোয়েস্টের ডেটা থেকে যাওয়ার সুযোগে আক্রমণকারী বিশেষভাবে তৈরি HTTP রিকোয়েস্ট পাঠিয়ে সার্ভারের নিয়ন্ত্রণ নিতে পারে।
সবচেয়ে বেশি ঝুঁকিতে রয়েছে PHP-FPM এবং Apache mod_php ব্যবহারকারীরা। এছাড়া PHP-CGI, FrankenPHP, LightSpeed, Docker কন্টেইনার এবং শেয়ার্ড হোস্টিংয়ে চলা সরকারি পোর্টাল, ব্যাংক, ই-কমার্স, WordPress ও Laravel ভিত্তিক সব ওয়েবসাইটও ঝুঁকির মুখে রয়েছে।
সতর্কবার্তায় বলা হয়েছে, সফল আক্রমণ হলে পুরো সার্ভারের দখল, ডেটা ও ফাইল চুরি, ডাটাবেসের পাসওয়ার্ড ও API কী ফাঁস এবং ওয়েবসাইট অচল হয়ে যাওয়ার মতো বড় ক্ষতি হতে পারে।
সমাধান হিসেবে অবিলম্বে PHP হালনাগাদ করতে CERT বলেছে। নিরাপদ সংস্করণগুলো হলো 8.5.12, 8.4.27, 8.3.36 এবং 8.2.35। ফ্রেমওয়ার্ক নয়, সার্ভারের মূল PHP রানটাইম আপডেট হয়েছে কি না তা নিশ্চিত করতে বলা হয়েছে।
যারা এখনই প্যাচ দিতে পারবেন না, তাদের জন্য সাময়িকভাবে সার্ভারকে VPN এর পেছনে রাখা, IP-ভিত্তিক অনুমোদন তালিকা তৈরি এবং লগ পর্যবেক্ষণ বাড়ানোর পরামর্শ দেওয়া হয়েছে। তবে CERT স্পষ্টভাবে জানিয়েছে, হালনাগাদ করাই একমাত্র স্থায়ী সমাধান।p>
