পিএইচপিতে ‘পিএইচপি২শেল’ জোড়া ঝুঁকি: লগইন ছাড়াই সার্ভার দখলের আশঙ্কা, এখনই আপডেটের তাগিদ

বিশ্বের প্রায় চার ভাগের তিন ভাগ ওয়েবসাইট যে প্রোগ্রামিং ভাষায় চলে, সেই পিএইচপিতে দুটি গুরুতর নিরাপত্তাত্রুটি ধরা পড়েছে। ‘পিএইচপি২শেল’ (PHP2Shell) নামে পরিচিত ত্রুটি দুটি কাজে লাগিয়ে কোনো লগইন ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালানো (রিমোট কোড এক্সিকিউশন) সম্ভব। ২১ অক্টোবর জরুরি নিরাপত্তা হালনাগাদ প্রকাশ করেছে পিএইচপি প্রকল্প।

ত্রুটি দুটি কী

দুটি ত্রুটিরই মূল সমস্যা এক জায়গায়: কোনো রিকোয়েস্ট অস্বাভাবিকভাবে থেমে গেলে পিএইচপির মেমোরি অগোছালো অবস্থায় থেকে যেতে পারে। দুটির সিভিএসএস স্কোর ৯.২, অর্থাৎ ‘সংকটপূর্ণ’ মাত্রার।

• CVE-2026-109618 (মেমোরি শেষ হওয়ার সময় ত্রুটি): কোনো রিকোয়েস্ট ঠিক ভুল মুহূর্তে পিএইচপির memory_limit ছুঁয়ে ফেললে, যেমন ফাইল আপলোড প্রক্রিয়াকরণের মাঝপথে, অভ্যন্তরীণ ডেটা আধাআধি তৈরি অবস্থায় থেকে যায়। পরে পিএইচপি সেই অবৈধ ডেটাকেই বৈধ ধরে কাজ করে, ফলে মেমোরি নষ্ট হয়।
• CVE-2026-109619 (পুরোনো অবস্থার ত্রুটি): ফেটাল এররের পর অভ্যন্তরীণ কিছু তথ্য আগের রিকোয়েস্টের মুছে ফেলা মেমোরির দিকে ইঙ্গিত করে থেকে যায়। একই ওয়ার্কার পরের রিকোয়েস্ট সামলাতে গিয়ে সেই মুক্ত হওয়া মেমোরি ব্যবহার করে ফেলে (ইউজ-আফটার-ফ্রি)।

পিএইচপি নিরাপত্তা দল জানিয়েছে, অ্যাপাচির mod_php ব্যবহারকারী সার্ভারে ঝুঁকি সবচেয়ে বেশি। সেখানে ডিফল্ট সেটিংসেই একটি মাত্র রিকোয়েস্ট পাঠিয়ে, ওয়েবসাইটের নিজস্ব কোড চালু হওয়ার আগেই, পুরো রিমোট কোড এক্সিকিউশন দেখানো হয়েছে। পিএইচপি-এফপিএমেও অ্যাপ্লিকেশনের কোডের মাধ্যমে আক্রমণ সফল হওয়ার প্রমাণ মিলেছে।

কারা ঝুঁকিতে

ওয়েব রিকোয়েস্ট সামলায় এমন প্রায় সব পিএইচপি ইনস্টলেশনই ঝুঁকিতে: পিএইচপি-এফপিএম, অ্যাপাচি mod_php, php-cgi, ফ্র্যাংকেনপিএইচপি ও লাইটস্পিড। পিএইচপি ৫.৪ থেকে পরের সংস্করণগুলো ডিফল্ট কনফিগারেশনেই আক্রান্ত। ফলে ওয়ার্ডপ্রেস, দ্রুপাল, জুমলা, লারাভেল বা ম্যাজেন্টোয় তৈরি সাইটও ঝুঁকিতে, যদি সেগুলো অরক্ষিত পিএইচপিতে চলে। মনে রাখতে হবে, থিম, প্লাগইন বা সাইটের কোড আপডেট করলে এই সমস্যা মিটবে না; ত্রুটি খোদ পিএইচপি ইঞ্জিনে।

ভাইরাসটোটালের হিসাবে ইন্টারনেটে ৫১ লাখের বেশি পিএইচপি হোস্ট উন্মুক্ত। বাংলাদেশে সংবাদমাধ্যম, ই-কমার্স ও প্রতিষ্ঠানের ওয়েবসাইটের বড় অংশ সিপ্যানেলভিত্তিক শেয়ার্ড হোস্টিংয়ে পিএইচপিতে চলে, তাই দেশের ঝুঁকিও কম নয়।

হামলা শুরু হয়ে গেছে

প্যাচ প্রকাশের পর কারিগরি বিশ্লেষণ প্রকাশ্যে এসেছে, ছড়িয়ে পড়েছে প্রুফ অব কনসেপ্ট বা পরীক্ষামূলক আক্রমণ কোড। প্যাচ আসার আগেই ক্লাউডফ্লেয়ার প্রাথমিক হামলার চেষ্টা শনাক্ত করার কথা জানিয়েছে। ইউরোপীয় ইউনিয়নের সাইবার নিরাপত্তা দল সার্ট-ইইউ অবিলম্বে প্যাচ বসানোর পরামর্শ দিয়েছে, আর যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার (এনসিএসসি) বলেছে, আপডেট সম্ভব না হলে সিস্টেম অফলাইনে নিতে।

পিএইচপি কোর ডেভেলপার জিনা পিটার ব্যানিয়ার্ড সতর্ক করেছেন, এর পূর্ণাঙ্গ কোনো বিকল্প সুরক্ষা নেই। ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল (ডব্লিউএএফ) বা কনফিগারেশন বদল সাময়িক কিছুটা সুরক্ষা দিলেও আপডেটই একমাত্র স্থায়ী সমাধান।

কোন সংস্করণে সমাধান

• পিএইচপি ৮.৫ → ৮.৫.১২
• পিএইচপি ৮.৪ → ৮.৪.২৭
• পিএইচপি ৮.৩ → ৮.৩.৩৬
• পিএইচপি ৮.২ → ৮.২.৩৫

পিএইচপি ৮.১ ও তার আগের সংস্করণগুলোর সমর্থন শেষ হয়ে গেছে, তাই এগুলোর জন্য পিএইচপি প্রকল্প আনুষ্ঠানিক সংস্করণ দেবে না। তবে ঝুঁকির মাত্রা বিবেচনায় ৭.৪, ৮.০ ও ৮.১-এর জন্য ন্যূনতম সোর্স প্যাচ প্রকাশ করা হয়েছে। বিভিন্ন লিনাক্স ডিস্ট্রিবিউশন ও এলটিএস সরবরাহকারী আগেভাগে প্যাচ পেয়েছে।

এখনই যা করবেন

1. সংস্করণ দেখুন: সার্ভারে php -v চালিয়ে বা হোস্টিং প্যানেলের পিএইচপি সেটিংসে দেখুন কোন সংস্করণ চলছে।
2. আপডেট করুন: ওপরের তালিকার নিরাপদ সংস্করণে যান। সিপ্যানেল সার্ভারে ইজিঅ্যাপাচির ea-php প্যাকেজ এবং লাইটস্পিডের lsphp প্যাকেজ হালনাগাদ করুন।
3. সার্ভিস রিস্টার্ট করুন: আপডেটের পর পিএইচপি-এফপিএম, অ্যাপাচি বা লাইটস্পিড রিস্টার্ট করুন; কনটেইনার ইমেজ ব্যবহার করলে নতুন করে বিল্ড ও ডিপ্লয় করুন।
4. পুরোনো সংস্করণ ছাড়ুন: পিএইচপি ৮.১ বা তার আগের সংস্করণে থাকলে সমর্থিত সংস্করণে সরে যান, অথবা বিক্রেতার কাছ থেকে ব্যাকপোর্ট করা প্যাচ নিন।
5. শেয়ার্ড হোস্টিংয়ে থাকলে: নিজে সার্ভার আপডেট করতে না পারলে আজই হোস্টিং প্রতিষ্ঠানের কাছে জানতে চান, তারা প্যাচ বসিয়েছে কি না।
6. নজর রাখুন: অস্বাভাবিক নতুন ফাইল, অপরিচিত অ্যাডমিন অ্যাকাউন্ট বা হঠাৎ ওয়ার্কার ক্র্যাশের লগ দেখলে সাইট পরীক্ষা করুন।

পিএইচপি ফাউন্ডেশন জানিয়েছে, ত্রুটি দুটি পিএইচপির এমন অংশে, যেটি প্রায় প্রতিটি রিকোয়েস্টই ছুঁয়ে যায়: মেমোরি ব্যবস্থাপনা আর এরর সামলানো। সে কারণেই ঝুঁকি এত বড়, আর সমাধানও ছিল জটিল। দেরি না করে আপডেট করাই এখন সবচেয়ে জরুরি কাজ।