বাংলাদেশে ওয়ার্ডপ্রেস সাইট হ্যাক হওয়ার ৩টি আসল কারণ — আপনার সাইট কি এখনো PHP 7.4-এ আটকে আছে?

আপনার ব্যবসার ওয়েবসাইট কি ওয়ার্ডপ্রেসে বানানো? তাহলে একটা প্রশ্ন দিয়ে শুরু করি: আপনার সাইট এখন কোন PHP ভার্সনে চলছে? উত্তর যদি হয় "জানি না" বা "PHP 7.4", তাহলে এই লেখাটা আপনার জন্য।

২০০৪ থেকে আমরা ওয়েব হোস্টিং আর ওয়েবসাইট নিয়ে কাজ করছি, আর নিয়মিত হ্যাক হওয়া সাইট পরিষ্কার করি। সেই অভিজ্ঞতা থেকে একটা জিনিস বারবার দেখি: বাংলাদেশে বেশিরভাগ ওয়ার্ডপ্রেস সাইট কোনো জটিল বা নতুন কৌশলে হ্যাক হয় না। হ্যাক হয় তিনটা খুব সাধারণ কারণে, যেগুলো আগে থেকেই বন্ধ করা যেত।

বাংলাদেশে ওয়েবসাইট আক্রমণের চিত্র

সরকারের সাইবার নিরাপত্তা দল BGD e-GOV CIRT ২০২৪ সালের জুনে এক সতর্কবার্তায় জানায়, বাংলাদেশে ওয়েবসাইট ডিফেসমেন্ট (হ্যাক করে সাইটের চেহারা বা লেখা বদলে দেওয়া) আর ওয়েব অ্যাপ্লিকেশনের দুর্বলতা কাজে লাগানো ক্রমশ বাড়ছে। তাদের তালিকায় মূল কারণগুলোর মধ্যে আছে পুরনো সফটওয়্যার, দুর্বল বা ডিফল্ট পাসওয়ার্ড, আর সময়মতো নিরাপত্তা আপডেট না দেওয়া। এর ফলে শুধু সাইটের চেহারাই বদলায় না, ভিজিটরের তথ্য চুরি, ফিশিং, ম্যালওয়্যার ছড়ানো আর সার্ভারে লুকানো "পেছনের দরজা" (backdoor) পর্যন্ত হতে পারে।

আমাদের মাঠের অভিজ্ঞতাও ঠিক এই কথাই বলে।

মূল কারণ ১: পুরনো প্লাগিন আর থিম

ওয়ার্ডপ্রেস নিজে বেশ নিরাপদ। সমস্যা হয় তার সাথে যোগ করা প্লাগিন আর থিমে।

ওয়ার্ডপ্রেস নিরাপত্তা প্রতিষ্ঠান Patchstack-এর ২০২৬ সালের রিপোর্ট অনুযায়ী:

• ২০২৫ সালে ওয়ার্ডপ্রেস জগতে ১১,৩৩৪টি নতুন নিরাপত্তা দুর্বলতা পাওয়া গেছে।
• এর ৯১% প্লাগিনে, ৯% থিমে। ওয়ার্ডপ্রেসের মূল অংশে মাত্র ৬টি।
• প্রকাশের সময় ৪৬% দুর্বলতার কোনো সমাধান (প্যাচ) ছিল না।
• সবচেয়ে বেশি টার্গেট করা দুর্বলতায় প্রথম আক্রমণ আসে প্রকাশের মাত্র ৫ ঘণ্টার মধ্যে।

সহজ উপমায়: আপনার বাড়ির মূল দরজা মজবুত, কিন্তু প্রতিটা প্লাগিন হলো একেকটা জানালা। জানালার তালা নষ্ট হলে মূল দরজা যত মজবুতই হোক, চোর জানালা দিয়েই ঢুকবে। আর তালা মেরামতের খবর বের হওয়ার কয়েক ঘণ্টার মধ্যেই চোরেরা জেনে যায় কোন জানালা খোলা।

করণীয়: Dashboard → Updates থেকে প্লাগিন আর থিম নিয়মিত আপডেট দিন। যে প্লাগিন ব্যবহার করেন না, সেটা শুধু বন্ধ (deactivate) নয়, পুরোপুরি মুছে (delete) দিন।

মূল কারণ ২: Nulled (ক্র্যাক করা) থিম-প্লাগিন

দামি প্রিমিয়াম থিম বা প্লাগিন অনেকে বিনামূল্যে "nulled" বা ক্র্যাক করা কপি হিসেবে নামিয়ে নেন। আমাদের দেখা হ্যাক হওয়া সাইটগুলোর মধ্যে এটা সবচেয়ে বড় কারণগুলোর একটা।

কেন বিপজ্জনক:

1. ভেতরে লুকানো কোড: যে ক্র্যাক করে বিনামূল্যে ছড়ায়, সে প্রায়ই ভেতরে backdoor বা ম্যালওয়্যার রেখে দেয়। আন্তর্জাতিক নিরাপত্তা গবেষকেরা বছরের পর বছর nulled থিম-প্লাগিনের মাধ্যমে ছড়ানো ম্যালওয়্যার (যেমন WP-VCD) নিয়ে সতর্ক করে আসছেন।
2. কখনো আপডেট পায় না: আসল লাইসেন্স না থাকায় নিরাপত্তা আপডেট আসে না। ফলে কারণ ১-এর সমস্যাও স্থায়ী হয়ে যায়।
3. প্রিমিয়াম মানেই বেশি টার্গেট: Patchstack-এর একই রিপোর্টে দেখা গেছে, প্রিমিয়াম (পেইড) কম্পোনেন্টে সক্রিয়ভাবে কাজে লাগানো দুর্বলতা ফ্রি কম্পোনেন্টের চেয়ে ৩ গুণ বেশি। আর nulled কপি মানে সেই প্রিমিয়াম জিনিসেরই আপডেটহীন সংস্করণ।

সহজ উপমায়: রাস্তা থেকে কম দামে কেনা "চাবিসহ তালা"। কে জানে তার আরেকটা চাবি কার পকেটে আছে।

করণীয়: শুধু অফিসিয়াল উৎস (wordpress.org বা নির্মাতার নিজের সাইট) থেকে কেনা বা নামানো থিম-প্লাগিন ব্যবহার করুন। সাইটে nulled কিছু থাকলে সেটা সরিয়ে আসল লাইসেন্সের কপি বসান, আর পুরো সাইট স্ক্যান করান।

মূল কারণ ৩: দুর্বল admin পাসওয়ার্ড

"admin" ইউজারনেম আর "123456", "company@123" বা ফোন নম্বরের মতো পাসওয়ার্ড এখনো খুব সাধারণ। স্বয়ংক্রিয় প্রোগ্রাম দিনরাত হাজার হাজার সাইটে অসংখ্য পাসওয়ার্ড চেষ্টা করে, যাকে বলে ব্রুট-ফোর্স আক্রমণ। CIRT-এর তালিকাতেও "দুর্বল বা ডিফল্ট পাসওয়ার্ড" মূল কারণগুলোর একটা।

করণীয়: - "admin" নামের ইউজার রাখবেন না। - কমপক্ষে ১২–১৬ অক্ষরের আলাদা পাসওয়ার্ড দিন, অন্য কোথাও ব্যবহার করা পাসওয়ার্ড নয়। - টু-ফ্যাক্টর অথেনটিকেশন (2FA) চালু করুন। তাহলে পাসওয়ার্ড চুরি হলেও ফোনের কোড ছাড়া কেউ ঢুকতে পারবে না। - লগইনের চেষ্টা সীমিত করুন (অনেক ভুল চেষ্টার পর সাময়িক বন্ধ)।

💬 সাইট হ্যাক হয়েছে বা সন্দেহ হচ্ছে? দেরি করলে গুগল সাইটে লাল সতর্কবার্তা বসিয়ে দিতে পারে। এখনই আমাদের জানান।
হোয়াটসঅ্যাপে মেসেজ দিন: +880 1841-440202

PHP 7.4 কেন বিপদের সংকেত

এবার সেই প্রথম প্রশ্নে ফিরি। আমাদের অভিজ্ঞতায় যে সাইট এখনো PHP 7.4-এ আটকে আছে, সেটা সাধারণত উপরের তিনটা কারণেই দুর্বল।

কারণটা সহজ: PHP 7.4-এর অফিসিয়াল সাপোর্ট অনেক আগেই শেষ, আর নতুন প্লাগিন-থিম এখন নতুন PHP চায়। যে সাইট বছরের পর বছর কেউ আপডেট করেনি, তার পুরনো প্লাগিন আর থিম নতুন PHP-তে চলে না। তাই PHP-ও বদলানো যায়নি। মানে PHP 7.4 নিজে একটা সমস্যা, আবার সাথে সাথে এটা একটা লক্ষণ যে সাইটের ভেতরের সবকিছুই সম্ভবত অনেকদিন হালনাগাদ হয়নি।

৫ মিনিটে নিজের সাইট চেক করুন

1. PHP ভার্সন: cPanel → MultiPHP Manager-এ আপনার ডোমেইনের পাশে ভার্সন দেখুন। 8.2 বা তার নিচে হলে এখনই PHP 8.3-এ যাওয়ার পরিকল্পনা করুন।
2. আপডেট: ওয়ার্ডপ্রেস Dashboard → Updates-এ কয়টা আপডেট জমে আছে দেখুন।
3. অচেনা ইউজার: Users পেজে এমন কোনো Administrator আছে কিনা দেখুন, যাকে আপনি চেনেন না।
4. প্লাগিনের উৎস: কোনো প্লাগিন বা থিম কি অফিসিয়াল জায়গা ছাড়া অন্য কোথাও থেকে নামানো?
5. গুগলে সাইট: গুগলে site:আপনারডোমেইন.com লিখে খুঁজুন। অচেনা ভাষার বা অদ্ভুত পণ্যের পেজ দেখালে সাইট সম্ভবত আক্রান্ত।

এর যেকোনো একটায় সমস্যা পেলে দেরি করবেন না।

রক্ষার ধাপগুলো এক নজরে

WEB DATA HOSTS-এর সার্ভারে যা চালু থাকে

আমাদের হোস্টিং সার্ভারে সবসময় চালু থাকে Imunify360 (রিয়েল-টাইম ম্যালওয়্যার স্ক্যান ও ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল), ModSecurity (OWASP নিয়ম), CSF ফায়ারওয়াল আর KernelCare। cPanel-এর WP Toolkit দিয়ে গ্রাহকেরা নিজের ওয়ার্ডপ্রেসের নিরাপত্তা চেক আর আপডেট সহজে করতে পারেন। সার্ভারের এই সুরক্ষা অনেক আক্রমণ আটকায়, তবে সাইটের ভেতরের পুরনো প্লাগিন বা দুর্বল পাসওয়ার্ডের দায়িত্ব সাইট মালিকেরও। দুই দিক একসাথে ঠিক থাকলেই সাইট সত্যিকারের নিরাপদ থাকে।

আরও পড়ুন

• PHP2Shell: পাসওয়ার্ড ছাড়াই সার্ভার দখল! আপনার ওয়ার্ডপ্রেস সাইট কি ঝুঁকিতে?
• হ্যাক, ভুল ক্লিক বা সার্ভার বিপদ — সব হারালে বাঁচাবে শুধু ব্যাকআপ: ৩-২-১ নিয়ম সহজ ভাষায়
• ৩১ ডিসেম্বরের পর PHP 8.2 আর নিরাপদ নয়: আপনার সাইট এখনই আপডেট করুন

সাহায্য দরকার?

আপনার সাইট পুরনো PHP-তে আটকে আছে, আপডেট দিতে ভয় পাচ্ছেন, বা সন্দেহ হচ্ছে সাইট হ্যাক হয়েছে? আমাদের টিমকে জানান। সাইট যেখানেই হোস্ট করা থাকুক, আমরা দেখে পরামর্শ দেব।

• ফোন / WhatsApp: +880 1841-440202
• ইমেইল: info@webdatahosts.com

সূত্র

• BGD e-GOV CIRT: Surge on Web Defacement and Web Application Related Vulnerabilities Targeting Bangladesh (জুন ২০২৪)
• Patchstack: State of WordPress Security in 2026
• Wordfence: The Price of 'Free' — How Nulled Plugins Are Used to Weaken Your Defense
• SC Media: WP-VCD malware is No. 1 in WordPress infections
• PHP: Supported Versions