পিএইচপিতে ত্রুটি: বাংলাদেশের অর্ধশতাধিক ওয়েবসাইট-অ্যাপ নিরাপত্তা ঝুঁকিতে

পিএইচপি প্রোগ্রামিং ল্যাঙ্গুয়েজে নিরাপত্তা ত্রুটির কারণে বাংলাদেশে সাময়িকভাবে বন্ধ রাখা ওয়েবসাইটগুলোর বেশির ভাগই সচল হয়েছে। তবে চালু হলেও সরকারি ও বেসরকারি বিভিন্ন প্রতিষ্ঠানের ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশনে নিরাপত্তাঝুঁকি শনাক্ত করেছে সরকারের সাইবার নিরাপত্তাসংশ্লিষ্ট সংস্থা বিজিডি ই-গভ সার্ট।

পিএইচপির নিরাপত্তা ত্রুটি নিয়ে আজ রোববার জরুরি সতর্কবার্তা জারি করেছে বিজিডি ই-গভ সার্ট। সতর্কবার্তায় সংস্থাটি জানায়, তাদের সাইবার থ্রেট ইন্টেলিজেন্স (সিটিআই) ইউনিটের নিয়মিত নজরদারিতে সরকারি, জনখাত ও বেসরকারি বিভিন্ন প্রতিষ্ঠানের একাধিক ওয়েব অ্যাপ্লিকেশনে নিরাপত্তাঝুঁকি শনাক্ত হয়েছে। এসব অ্যাপ্লিকেশনে পিএইচপির পুরোনো, সম্ভাব্য ঝুঁকিপূর্ণ কিংবা মেয়াদোত্তীর্ণ সংস্করণ ব্যবহার করা হচ্ছে।

তথ্যপ্রযুক্তি বিভাগের একটি সূত্র জানিয়েছে, আজ সন্ধ্যা ৬টা পর্যন্ত একাধিক সরকারি–বেসরকারি প্রতিষ্ঠানের ৫০ এর বেশি ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশনে পিএইচপির ত্রুটিপূর্ণ পুরনো সংস্করণ ব্যবহারের তথ্য পাওয়া গেছে। এই সংখ্যা আরও বাড়তে পারে।

সার্টের দেওয়া সতর্কবার্তায়ও বলা হয়েছে, আগে অবহিত করার পরেও সংশ্লিষ্ট বেশ কিছু প্রতিষ্ঠান নিরাপত্তা হালনাগাদ করেছে কি না, তা নিশ্চিত করেনি। কেউ কেউ এ বিষয়ে কোনো জবাবও দেয়নি। ফলে এসব ওয়েবসেবা সাইবার হামলা ও অননুমোদিত প্রবেশের উচ্চ ঝুঁকিতে থাকতে পারে।

জানতে চাইলে বিজিডি ই-গভ সার্টের প্রকল্প পরিচালক নাজমুল হক খন্দকার প্রথম আলোকে বলেন, আগের সতর্কবার্তা জারির পরেও নজরদারিতে দেখা গেছে, অনেক প্রতিষ্ঠান পিএইচপির সংস্করণ হালনাগাদ করেনি। কোনো কোনো প্রতিষ্ঠানের ওয়েবসাইটে আরও পুরোনো সংস্করণ রয়ে গেছে। এতে ওয়েবসাইটগুলো নিরাপত্তাঝুঁকিতে থাকছে। এ কারণে সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে নতুন করে সতর্ক করা হয়েছে এবং পিএইচপির সংস্করণ হালনাগাদ করে সর্বশেষ সংস্করণে যাওয়ার পরামর্শ দেওয়া হয়েছে।

বিশ্বজুড়ে পিএইচপির নিরাপত্তা ত্রুটির বিষয়টি সামনে আসার পর গত বৃহস্পতিবার নিজেদের ওয়েবসাইট বন্ধ করে দেয় বাংলাদেশ ব্যাংক। এরপর সতর্কতামূলক ব্যবস্থা হিসেবে অগ্রণী ব্যাংক, জনতা ব্যাংক, আইএফআইসি ব্যাংক, স্ট্যান্ডার্ড ইসলামী ব্যাংক, এসবিএসি ব্যাংক ও বেঙ্গল কমার্শিয়াল ব্যাংকসহ আরও বেশ কয়েকটি ব্যাংক নিজেদের ওয়েবসাইট বন্ধ রাখে। সম্ভাব্য সাইবার ঝুঁকি এড়ানো এবং প্রযুক্তি অবকাঠামোর নিরাপত্তা যাচাইয়ের জন্য এ পদক্ষেপ নেওয়া হয়। বাংলাদেশ ব্যাংক জানিয়েছিল, ওয়েবসাইট বন্ধ থাকলেও ব্যাংকিং সেবায় কোনো প্রভাব পড়েনি। বন্ধ রাখা হয়েছিল ডিজিটাল ভূমিসেবার ওয়েবসাইটও।

নিরাপত্তা যাচাইয়ের পর আজ বেশির ভাগ প্রতিষ্ঠানের বন্ধ থাকা ওয়েবসাইট আবার চালু হয়েছে। জনতা ব্যাংক ও বেঙ্গল কমার্শিয়াল ব্যাংকের ওয়েবসাইট দুপুরের দিকে সচল হয়। প্রায় একই সময়ে স্বাভাবিক হয় ডিজিটাল ভূমিসেবার ওয়েবসাইটও। ভূমিসেবার ওয়েবসাইটটি অবশ্য শনিবার দুপুরের মধ্যে চালু হওয়ার কথা ছিল। তবে বাংলাদেশ ব্যাংকের নিয়োগসংক্রান্ত ওয়েবসাইট erecruitment.bb.org.bd সন্ধ্যা ৬টা ৫১ মিনিটেও বন্ধ পাওয়া গেছে। ওয়েবসাইটটিতে প্রবেশ করতে গেলে সেখানে রক্ষণাবেক্ষণ চলছে এমন বার্তা দেওয়া হচ্ছিল।

সার্টের কর্মকর্তারা বলছেন, সরকারি ওয়েবসাইটের ক্ষেত্রে এ ধরনের ঝুঁকি বিশেষভাবে গুরুত্বপূর্ণ। কারণ, সরকারি ডিজিটাল প্ল্যাটফর্মে নাগরিকদের ব্যক্তিগত তথ্য ও গুরুত্বপূর্ণ নথি সংরক্ষিত থাকতে পারে। এসব ব্যবস্থার নিয়ন্ত্রণ অন্যদের হাতে গেলে তথ্যের গোপনীয়তা ও অখণ্ডতা ক্ষতিগ্রস্ত হতে পারে।

ঝুঁকি মোকাবিলায় সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে ইন্টারনেট থেকে ব্যবহার করা যায়—এমন সব ওয়েব অ্যাপ্লিকেশন, সার্ভার, কনটেইনার ও হোস্টিং পরিবেশে পিএইচপির কোন সংস্করণ ব্যবহৃত হচ্ছে, তা যাচাই করতে বলেছে বিজিডি ই-গভ সার্ট। ঝুঁকিপূর্ণ সংস্করণগুলো নিরাপত্তা ত্রুটি সংশোধন করা হয়েছে, এমন সংস্করণে উন্নীত করতে হবে। প্রয়োজনে নিরাপত্তা সংশোধনী ব্যবহার করে ত্রুটি দূর করতে হবে। যেসব সংস্করণে নির্মাতাপ্রতিষ্ঠান আর নিরাপত্তা হালনাগাদ দেয় না, সেগুলোর পরিবর্তে সমর্থিত সংস্করণ ব্যবহারের পরামর্শ দেওয়া হয়েছে।

যেসব ক্ষেত্রে তাৎক্ষণিকভাবে নিরাপত্তা হালনাগাদ করা সম্ভব নয়, সেখানে সাময়িকভাবে ওয়েবসেবায় প্রবেশের সুযোগ সীমিত করতে হবে। প্রয়োজনে ভার্চ্যুয়াল প্রাইভেট নেটওয়ার্ক (ভিপিএন) ব্যবহার, নির্দিষ্ট আইপি ঠিকানা থেকে প্রবেশের অনুমতি দেওয়া কিংবা অপ্রয়োজনীয় উন্মুক্ত প্রবেশাধিকার বন্ধ রাখার কথা বলা হয়েছে।

সংস্থাটি সতর্ক করে বলেছে, সাময়িকভাবে ওয়েবসেবায় প্রবেশের সুযোগ সীমিত করলে ঝুঁকি কিছুটা কমতে পারে। তবে এটি প্রয়োজনীয় নিরাপত্তা হালনাগাদের বিকল্প নয়। তৃতীয় পক্ষের মাধ্যমে পরিচালিত হলেও ওয়েব অ্যাপ্লিকেশন ও সংশ্লিষ্ট অবকাঠামোর নিরাপত্তা নিশ্চিত করার দায়িত্ব সংশ্লিষ্ট প্রতিষ্ঠানের।