0
ঢাকা, ২৩ অক্টোবর ২০২৬: ওয়েবসাইটে সবচেয়ে বেশি ব্যবহৃত সার্ভার-সাইড প্রোগ্রামিং ভাষা PHP-তে দুটি গুরুতর নিরাপত্তা ত্রুটি ধরা পড়েছে। "PHP2Shell" নামে পরিচিত এই ত্রুটি কাজে লাগিয়ে কোনো পাসওয়ার্ড ছাড়াই দূর থেকে একটি ওয়েব সার্ভারের নিয়ন্ত্রণ নেওয়া সম্ভব।
ওয়ার্ডপ্রেস, জুমলা, লারাভেলসহ বেশিরভাগ ওয়েবসাইট PHP-তে চলে, তাই বাংলাদেশসহ বিশ্বজুড়ে অসংখ্য ওয়েবসাইট ঝুঁকিতে পড়েছে। একাধিক আন্তর্জাতিক নিরাপত্তা প্রতিষ্ঠান জানিয়েছে, প্যাচ আসার আগেই সাইবার অপরাধীরা এটি কাজে লাগানোর চেষ্টা শুরু করেছিল।
PHP-এর ডেভেলপাররা ২১ অক্টোবর জরুরি নিরাপত্তা আপডেট প্রকাশ করেছেন। বিশেষজ্ঞরা সব ওয়েবসাইট মালিককে দেরি না করে সার্ভার হালনাগাদ করার পরামর্শ দিচ্ছেন।
কী ঘটেছে
PHP-এর ডেভেলপাররা ২১ অক্টোবর জরুরি প্যাচ প্রকাশ করলেও, আক্রমণকারীরা তার আগেই কাজ শুরু করে দিয়েছিল।
| সময় | ঘটনা |
|---|---|
| ১৭ অক্টোবর | Amazon-এর হানিপট নেটওয়ার্ক MadPot-এ এই ত্রুটি কাজে লাগানোর প্রথম চেষ্টা ধরা পড়ে, অর্থাৎ প্যাচ আসার চার দিন আগেই আক্রমণ শুরু। |
| ২১ অক্টোবর | PHP 8.5.12, 8.4.27, 8.3.36 ও 8.2.35 প্রকাশ। দুটি ত্রুটি CVE-2026-109618 ও CVE-2026-109619 নামে নিবন্ধিত হয়। পুরনো PHP 7.4, 8.0 ও 8.1-এর জন্য আলাদা ছোট ব্যাকপোর্ট ফিক্সও দেওয়া হয়। |
| ২১ অক্টোবরের আগেই | Cloudflare তাদের ফায়ারওয়াল (WAF)-এ এই আক্রমণ ঠেকানোর নিয়ম চালু করে। |
| এরপর | যুক্তরাজ্যের জাতীয় সাইবার নিরাপত্তা কেন্দ্র (NCSC) পরামর্শ দেয়: যে সিস্টেম প্যাচ করা যাচ্ছে না, সেটি অফলাইনে নিয়ে যান। |
ত্রুটিগুলো নিয়ে বিস্তারিত বিশ্লেষণ প্রকাশ করেছে ক্লাউড নিরাপত্তা প্রতিষ্ঠান Wiz। দুটি ত্রুটিই "Critical" বা সর্বোচ্চ ঝুঁকির, কারণ দুটো দিয়েই দূর থেকে সার্ভারে নিজের কোড চালানো (Remote Code Execution) সম্ভব।
কারা ঝুঁকিতে
ওয়েবে চলা প্রায় সব PHP ইনস্টলেশনই আক্রান্ত। প্যাচ করা ভার্সন (8.5.12, 8.4.27, 8.3.36, 8.2.35 বা ব্যাকপোর্ট ফিক্স) না থাকলে যেকোনো PHP ওয়েব সার্ভার ঝুঁকিতে।
- ওয়ার্ডপ্রেস, ই-কমার্স ও কাস্টম PHP সাইট: ত্রুটিটি ওয়ার্ডপ্রেস বা প্লাগিনে নয়, PHP-এর নিজের ভেতরে। তাই ওয়ার্ডপ্রেস আপডেট থাকলেও সার্ভারের PHP পুরনো হলে সাইট ঝুঁকিতে।
- সব ধরনের সার্ভার সেটআপ: PHP-FPM, Apache, LiteSpeed, CGI, সবগুলোতেই ঝুঁকি আছে। Apache-এর mod_php সেটআপে ঝুঁকি সবচেয়ে বেশি।
- PHP 8.1 বা তার পুরনো ভার্সন: এগুলোর অফিসিয়াল সাপোর্ট আগেই শেষ। হোস্টিং প্রোভাইডার আলাদা করে ফিক্স না দিলে এগুলো অরক্ষিত থেকে যাবে।
- নিজে পরিচালিত VPS বা সার্ভার: যাদের সার্ভার কেউ নিয়মিত দেখাশোনা করে না, তারাই সবচেয়ে বড় ঝুঁকিতে।
💬 আপনার সাইট কোন PHP ভার্সনে চলছে, প্যাচ হয়েছে কিনা — নিশ্চিত না? আমাদের টিম দেখে দেবে।
হোয়াটসঅ্যাপে মেসেজ দিন: +880 1841-440202
সহজ ভাষায়: ত্রুটিটা আসলে কী
দুটি ত্রুটিই PHP কীভাবে সার্ভারের মেমরি সামলায়, সেই জায়গার ভুল।
প্রথম ত্রুটি (CVE-2026-109618): একটা রেস্টুরেন্টে টেবিল সাজানোর মাঝপথে ওয়েটারকে অন্য কাজে ডেকে নিলে টেবিল আধা-সাজানো পড়ে থাকে। পরে কেউ সেটাকে পুরো সাজানো ভেবে ব্যবহার করলে গোলমাল হয়। PHP-তেও মেমরি শেষ হয়ে গেলে কাজ মাঝপথে থেমে যায়, আর পরের ধাপ সেই অসম্পূর্ণ ডেটাকে ঠিক ভেবে নেয়। আক্রমণকারী ইচ্ছা করে এই পরিস্থিতি তৈরি করে সার্ভারে নিজের কোড চালাতে পারে।
দ্বিতীয় ত্রুটি (CVE-2026-109619): একজন অতিথি হোটেল ছাড়ার পরও তার রুমের চাবি যদি কাজ করে, পরের অতিথির রুমে সে ঢুকতে পারে। PHP-তেও একটি ভিজিটরের রিকোয়েস্ট শেষ হওয়ার পর তার কিছু তথ্য মুছে না গিয়ে থেকে যেতে পারে, আর পরের রিকোয়েস্ট সেটা ব্যবহার করে ফেলে।
সাধারণ ব্যবহারকারীর জন্য মূল কথা একটাই: আক্রমণকারীর কোনো পাসওয়ার্ড বা লগইন লাগে না, শুধু একটা বিশেষভাবে তৈরি রিকোয়েস্ট পাঠালেই চলে। তাই এটিকে সবচেয়ে বিপজ্জনক শ্রেণির ত্রুটি ধরা হচ্ছে।
ওয়েবসাইট মালিকদের এখন করণীয়
সবচেয়ে জরুরি কাজ একটাই: সার্ভারের PHP নিরাপদ ভার্সনে আপডেট করা। ফায়ারওয়ালের নিয়ম কিছুটা সময় দেয়, কিন্তু পুরো সমাধান হলো প্যাচ।
- হোস্টিং প্রোভাইডারকে জিজ্ঞেস করুন তারা PHP2Shell-এর প্যাচ দিয়েছে কিনা। নিরাপদ ভার্সন: 8.2.35, 8.3.36, 8.4.27, 8.5.12 বা তার নতুন।
- নিজের VPS বা সার্ভার হলে এখনই PHP আপডেট করুন এবং PHP সার্ভিস রিস্টার্ট দিন।
- পুরনো PHP (7.x, 8.0, 8.1) ব্যবহার করলে প্রোভাইডার আলাদা করে ফিক্স দিয়েছে কিনা নিশ্চিত হোন, আর নতুন ভার্সনে যাওয়ার পরিকল্পনা করুন।
- হ্যাক হয়েছে কিনা দেখুন: ১৭ অক্টোবরের পর ওয়েবসাইটে অচেনা ফাইল, নতুন admin ইউজার বা অদ্ভুত রিডাইরেক্ট দেখা গেলে দ্রুত বিশেষজ্ঞের সাহায্য নিন।
- ব্যাকআপ রাখুন: কোনো সমস্যা হলে যেন পরিষ্কার অবস্থায় ফেরত যাওয়া যায়।
WEB DATA HOSTS-এর গ্রাহকরা নিরাপদ
Security Center-এ বিস্তারিত: PHP2Shell আপডেট: WEB DATA HOSTS-এর সব সার্ভার প্যাচড
WEB DATA HOSTS-এর টেকনিক্যাল টিম ২২ অক্টোবরের মধ্যে সব হোস্টিং সার্ভারে প্যাচ বসিয়েছে এবং আলাদাভাবে যাচাই করেছে। সার্ভারে Imunify360-এর রিয়েল-টাইম স্ক্যান সবসময় চালু থাকে। আমাদের শেয়ার্ড হোস্টিং গ্রাহকদের এই ত্রুটির জন্য কিছু করতে হবে না।
আমাদের সার্ভারে সবসময় চালু থাকে Imunify360 (রিয়েল-টাইম ম্যালওয়্যার স্ক্যানার), ModSecurity ও CSF ফায়ারওয়াল আর KernelCare (রিবুট ছাড়া কার্নেল প্যাচ)। যেকোনো গুরুতর নিরাপত্তা হুমকির খবর পেলে আমরা দ্রুত ব্যবস্থা নিই এবং Security Center-এ নিয়মিত আপডেট জানাই।
আরও পড়ুন
- বাংলাদেশে ওয়ার্ডপ্রেস সাইট হ্যাক হওয়ার ৩টি আসল কারণ — আপনার সাইট কি এখনো PHP 7.4-এ আটকে আছে?
- ৩১ ডিসেম্বরের পর PHP 8.2 আর নিরাপদ নয়: আপনার সাইট এখনই আপডেট করুন
- হ্যাক, ভুল ক্লিক বা সার্ভার বিপদ — সব হারালে বাঁচাবে শুধু ব্যাকআপ: ৩-২-১ নিয়ম সহজ ভাষায়
টেকনিক্যাল সহায়তা দরকার?
আপনার ওয়েবসাইট বা সার্ভার অন্য কোথাও হোস্ট করা থাকলেও, PHP2Shell নিয়ে কোনো প্রশ্ন বা সাহায্য লাগলে আমাদের সাথে যোগাযোগ করুন। আপনার সার্ভার ঝুঁকিতে আছে কিনা পরীক্ষা, প্যাচ বসানো বা হ্যাক হওয়া সাইট পরিষ্কারে আমাদের টিম সাহায্য করবে।
- ফোন / WhatsApp: +880 1841-440202
- ইমেইল: info@webdatahosts.com
