0
সারসংক্ষেপ
WEB DATA HOSTS-এর সব শেয়ার্ড হোস্টিং সার্ভারে PHP2Shell (CVE-2026-109618 ও CVE-2026-109619) বাগের প্যাচ বসানো হয়েছে এবং যাচাই করা হয়েছে। গ্রাহকদের সাইটে কোনো পরিবর্তন করতে হবে না, আর এই বাগের কারণে আমাদের কোনো সার্ভারে অনুপ্রবেশের প্রমাণ পাওয়া যায়নি।
সর্বশেষ আপডেট: ২৩ অক্টোবর ২০২৬
- আমাদের সার্ভারে চালু থাকা PHP 7.4, 8.0, 8.1, 8.2 ও 8.3: সবগুলোতেই ফিক্স বসানো হয়েছে।
- প্যাচ বসানোর পর সব সার্ভারে পুরো সিকিউরিটি স্ক্যান করা হয়েছে।
- যেসব পুরনো PHP ভার্সনের ফিক্স আসেনি এবং কোনো সাইট ব্যবহার করছিল না, সেগুলো সার্ভার থেকে সরিয়ে দেওয়া হয়েছে।
PHP2Shell কী
PHP2Shell হলো PHP-এর মূল ইঞ্জিনে পাওয়া দুটো গুরুতর দুর্বলতার নাম, যার মাধ্যমে লগইন ছাড়াই একজন আক্রমণকারী ওয়েব সার্ভারে নিজের কোড চালাতে পারে।
প্রথম বাগটি (109618) ঘটে যখন মেমরি শেষ হয়ে গেলে PHP অসম্পূর্ণ ডেটা রেখে দেয়। দ্বিতীয়টিতে (109619) আগের রিকোয়েস্টের মুছে ফেলা ডেটা পরের রিকোয়েস্ট ব্যবহার করে ফেলতে পারে। প্যাচ প্রকাশের আগেই (১৭ অক্টোবর) ইন্টারনেটে এই বাগ কাজে লাগানোর সক্রিয় চেষ্টা দেখা গেছে, তাই দ্রুত প্যাচ দেওয়া জরুরি ছিল।
💬 আপনার সাইট নিয়ে কোনো সন্দেহ থাকলে সাপোর্ট টিকিট খুলুন বা সরাসরি মেসেজ দিন।
হোয়াটসঅ্যাপে মেসেজ দিন: +880 1841-440202
আমরা কী করেছি
খবর পাওয়ার পর আমাদের টেকনিক্যাল টিম ২২ অক্টোবর ২০২৬-এর মধ্যে সব সার্ভারে নিচের ধাপগুলো শেষ করেছে।
- ঝুঁকি যাচাই: প্রতিটি সার্ভারে কোন কোন PHP ভার্সন চালু আছে আর কোন সাইট কোন ভার্সনে চলছে, তা তালিকা করা হয়েছে।
- প্যাচ বসানো: cPanel EasyApache-এর মাধ্যমে আপডেটেড PHP প্যাকেজ বসানো হয়েছে। PHP 8.2 ও 8.3 অফিসিয়াল ফিক্সড ভার্সনে (8.2.35, 8.3.36) উন্নীত হয়েছে, আর PHP 7.4, 8.0 ও 8.1-এ cPanel-এর ব্যাকপোর্ট করা ফিক্স বসানো হয়েছে।
- প্যাচ যাচাই: প্রতিটি PHP প্যাকেজের চেঞ্জলগে এই দুই CVE-এর ফিক্স আছে কিনা আলাদা করে মিলিয়ে দেখা হয়েছে, আর PHP-FPM রিস্টার্ট করে নিশ্চিত করা হয়েছে যে নতুন কোডই চলছে।
- অতিরিক্ত সুরক্ষা: একটি আক্রমণপথ বন্ধ করতে PHP-র একটি সেটিং (
session.upload_progress) বন্ধ করা হয়েছে। এতে সাধারণ ওয়েবসাইটের কোনো কাজে প্রভাব পড়ে না। - অপ্রয়োজনীয় ভার্সন সরানো: যে পুরনো PHP ভার্সনগুলোর জন্য কোনো ফিক্স আসেনি আর কোনো সাইট ব্যবহার করছিল না, সেগুলো সম্পূর্ণ সরিয়ে দেওয়া হয়েছে।
- অনুপ্রবেশ আছে কিনা পরীক্ষা: সব সার্ভারে সন্দেহজনক ফাইল, ব্যাকডোর কোড, অচেনা প্রসেস, লগইন রেকর্ড ও শিডিউলড টাস্ক পরীক্ষা করা হয়েছে। কোনো অনুপ্রবেশের চিহ্ন পাওয়া যায়নি।
- চলমান সুরক্ষা: আমাদের সার্ভারে Imunify360, ModSecurity, CSF ফায়ারওয়াল আর KernelCare সবসময় চালু থাকে।
আমাদের নিয়মিত প্যাচ নীতি
| ঝুঁকির মাত্রা | আমরা কখন প্যাচ দিই | গ্রাহককে জানানো |
|---|---|---|
| Critical (CVSS 9.0+), সক্রিয় আক্রমণ চলছে | বিক্রেতার প্যাচ আসার ২৪ ঘণ্টার মধ্যে; প্যাচ আসার আগে সাময়িক সুরক্ষা ব্যবস্থা | ওয়েবসাইট ও ফেসবুকে আপডেট পোস্ট |
| High (CVSS 7.0–8.9) | ৭২ ঘণ্টার মধ্যে | ওয়েবসাইটের সিকিউরিটি আপডেট পেজে |
| Medium ও Low | নিয়মিত স্বয়ংক্রিয় আপডেটের সাথে | প্রয়োজন হলে |
- স্বয়ংক্রিয় আপডেট: cPanel, PHP, Apache ও অপারেটিং সিস্টেমের নিরাপত্তা আপডেট প্রতিদিন স্বয়ংক্রিয়ভাবে বসে।
- কার্নেল আপডেট: KernelCare-এর মাধ্যমে রিবুট ছাড়াই বসে, তাই সাইট বন্ধ থাকে না।
- যাচাই: বড় প্যাচের পর প্রতিটি সার্ভারে আলাদা করে নিশ্চিত করা হয় যে ফিক্স সত্যিই বসেছে।
- স্ক্যান: গুরুতর বাগের পর সব সার্ভারে অনুপ্রবেশের চিহ্ন খোঁজা হয়।
- স্বচ্ছতা: প্রতিটি গুরুতর ঘটনায় কী হয়েছে আর আমরা কী করেছি, তা এই পেজে প্রকাশ করা হয়।
গ্রাহকদের করণীয়
শেয়ার্ড হোস্টিং গ্রাহকদের এই বাগের জন্য কিছু করতে হবে না। তবে ওয়েবসাইট নিরাপদ রাখতে এই কাজগুলো সবসময় জরুরি:
- WordPress, প্লাগিন ও থিম নিয়মিত আপডেট রাখুন। বেশিরভাগ ওয়েবসাইট হ্যাক হয় পুরনো প্লাগিনের কারণে।
- Nulled (ক্র্যাক করা) থিম বা প্লাগিন ব্যবহার করবেন না। এগুলোতে প্রায়ই আগে থেকে ব্যাকডোর লুকানো থাকে।
- cPanel-এর MultiPHP Manager থেকে আপনার সাইট PHP 8.3-এ নিন। PHP 7.4, 8.0 ও 8.1 আগেই অফিসিয়াল সাপোর্ট হারিয়েছে, আর PHP 8.2-এর সাপোর্ট ৩১ ডিসেম্বর ২০২৬-এ শেষ হচ্ছে।
- WordPress admin-এ শক্তিশালী পাসওয়ার্ড ও টু-ফ্যাক্টর অথেনটিকেশন (2FA) ব্যবহার করুন।
- cPanel-এর WP Toolkit থেকে Security চেক চালিয়ে প্রস্তাবিত সুরক্ষা চালু করুন।
নিজস্ব VPS বা ডেডিকেটেড সার্ভারের গ্রাহক হলে, আপনার সার্ভারে PHP আপডেট করুন অথবা আমাদের সাপোর্ট টিমের সাহায্য নিন। ফিক্সড ভার্সন: 8.2.35, 8.3.36, 8.4.27, 8.5.12 বা তার নতুন।
প্রশ্নোত্তর (FAQ)
আমার ওয়েবসাইট কি PHP2Shell-এর ঝুঁকিতে আছে? আপনার সাইট WEB DATA HOSTS-এর শেয়ার্ড হোস্টিংয়ে থাকলে, না। সার্ভার পর্যায়ে প্যাচ বসানো ও যাচাই করা হয়েছে।
আমাকে কি ওয়েবসাইটে কিছু বদলাতে হবে? এই বাগের জন্য না। তবে WordPress, প্লাগিন আর থিম আপডেট রাখা সবসময় দরকার।
প্যাচের সময় কি আমার সাইট বন্ধ ছিল? না। PHP সার্ভিস রিস্টার্টে কয়েক সেকেন্ড লাগে, ওয়েবসাইট চালু ছিল।
আমার সাইট PHP 7.4-এ চলে, সেটাও কি সুরক্ষিত? হ্যাঁ, PHP 7.4-এ ব্যাকপোর্ট করা ফিক্স বসানো হয়েছে। তবে 7.4 আর নিয়মিত নিরাপত্তা আপডেট পায় না, তাই PHP 8.3-এ যাওয়ার পরামর্শ দিচ্ছি। সাহায্য লাগলে সাপোর্টে যোগাযোগ করুন।
আমার সাইট হ্যাক হয়েছে কিনা কীভাবে বুঝব? অচেনা admin ইউজার, সাইটে অপরিচিত লিংক বা রিডাইরেক্ট, অথবা গুগলে সাইটের নামে স্প্যাম দেখা গেলে দ্রুত আমাদের সাপোর্টে জানান। আমরা স্ক্যান করে দেখব।
আরও পড়ুন
- PHP2Shell: পাসওয়ার্ড ছাড়াই সার্ভার দখল! সহজ ভাষায় পুরো খবর (WDH Talks)
- ৩১ ডিসেম্বরের পর PHP 8.2 আর নিরাপদ নয়: আপনার সাইট এখনই আপডেট করুন
- বাংলাদেশে ওয়ার্ডপ্রেস সাইট হ্যাক হওয়ার ৩টি আসল কারণ
সূত্র ও যোগাযোগ
কোনো প্রশ্ন বা সন্দেহ থাকলে আমাদের সাপোর্টে যোগাযোগ করুন: +880 1841-440202 (ফোন ও WhatsApp), info@webdatahosts.com
