বিশ্বের অন্যতম জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপিতে ‘পিএইচপি২শেল’ নামে পরিচিত দুটি অত্যন্ত ঝুঁকিপূর্ণ নিরাপত্তা ত্রুটি শনাক্ত হয়েছে। এই ত্রুটির সুযোগ নিয়ে হ্যাকাররা কোনো ইউজারনেম বা পাসওয়ার্ড ছাড়াই দূর থেকে যেকোনো ওয়েবসাইটের সার্ভারের পূর্ণ নিয়ন্ত্রণ নিতে সক্ষম।

এ পরিস্থিতিতে সরকারি-বেসরকারি সব ওয়েবসাইটের নিরাপত্তা নিশ্চিত করতে উচ্চ সতর্কতা জারি করেছে বাংলাদেশ সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম (বিজিডি ই-গভ সার্ট)।

সংস্থাটি জানায়, ত্রুটি দুটির আইডি হলো CVE-2026-109618 ও CVE-2026-109619। সার্বিক ঝুঁকি বিবেচনায় এর সিভিএসএস স্কোর ধরা হয়েছে ৯.২, যা সর্বোচ্চ মাত্রার বিপজ্জনক বা ঝুঁকিপূর্ণ হিসেবে বিবেচিত।

সার্টের জারি করা সতর্কবার্তায় বলা হয়, এই জটিল সমস্যাটি মূলত পিএইচপির মেমোরি ব্যবস্থাপনার সঙ্গে সম্পর্কিত। সার্ভারের মেমোরি শেষ হয়ে গেলে কিংবা মেমোরি খালি করার পরও পুরনো রিকোয়েস্টের ডেটা থেকে যাওয়ার সুযোগ তৈরি হয়। এই সুযোগ কাজে লাগিয়ে হ্যাকাররা বিশেষভাবে তৈরি এইচটিটিপি রিকোয়েস্ট পাঠিয়ে অনায়াসে সার্ভারে ক্ষতিকর কোড এক্সিকিউট করতে পারে।

এর ফলে সর্বাধিক ঝুঁকিতে পড়েছে PHP-FPM এবং অ্যাপাচির ‘mod_php’ ব্যবহারকারীরা। এ ছাড়া PHP-CGI, FrankenPHP, LiteSpeed, ডকার কন্টেইনার এবং শেয়ার্ড হোস্টিংয়ে পরিচালিত দেশের সব সরকারি পোর্টাল, ব্যাংক, ই-কমার্স, ওয়ার্ডপ্রেস ও লারাভেল ভিত্তিক ওয়েবসাইটগুলো চরম হুমকির মুখে রয়েছে।

সতর্কতায় বলা হয়, সফল আক্রমণ হলে পুরো সার্ভারের দখল চলে যাওয়া, ডেটা ও ফাইল চুরি, ডাটাবেসের পাসওয়ার্ড ও এপিআই কি (API Key) ফাঁস এবং ওয়েবসাইট অচল হয়ে যাওয়ার মতো বড় ক্ষতি হতে পারে।

সমাধান হিসেবে অবিলম্বে পিএইচপি রানটাইম হালনাগাদ করার নির্দেশ দিয়েছে সার্ট। সুরক্ষিত নতুন সংস্করণগুলো হলো— ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ এবং ৮.২.৩৫। শুধু ফ্রেমওয়ার্ক বা অ্যাপ্লিকেশন নয়, সার্ভারের মূল পিএইচপি রানটাইম হালনাগাদ হয়েছে কি না তা নিশ্চিত করার তাগিদ দেওয়া হয়েছে।

জরুরি ভিত্তিতে যারা এখনই প্যাচ দিতে পারবেন না, তাদের জন্য সাময়িকভাবে সার্ভার ভিপিএনের পেছনে রাখা, আইপিভিত্তিক অনুমোদন তালিকা করা এবং লগ পর্যবেক্ষণ বাড়ানোর পরামর্শ দেওয়া হয়েছে। তবে রানটাইম হালনাগাদ করাই একমাত্র স্থায়ী সমাধান বলে জানিয়েছে বিজিডি ই-গভ সার্ট।