বিশ্বজুড়ে ওয়েবসাইট ও সার্ভারের নিরাপত্তা নিয়ে উদ্বেগ, সতর্কতামূলক ব্যবস্থা হিসেবে বন্ধ বাংলাদেশ ব্যাংকের ওয়েবসাইট। বাংলাদেশের সরকারি-বেসরকারি কত প্রতিষ্ঠান ঝুঁকিতে, তা এখনো স্পষ্ট নয়। সাইবার নিরাপত্তা বিশেষজ্ঞদের পরামর্শ, আক্রান্ত হওয়ার অপেক্ষা না করে সার্ভার যাচাই ও নিরাপত্তা হালনাগাদ করতে হবে।

পিএইচপির ত্রুটিটি আসলে কী?

ওয়েবসাইট ও ওয়েবভিত্তিক সেবা তৈরিতে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপি। এই ভাষার মূল সফটওয়্যারে সম্প্রতি দুটি গুরুতর নিরাপত্তাত্রুটি শনাক্ত হয়েছে। এগুলোকে একসঙ্গে ‘পিএইচপি২শেল’ নামে উল্লেখ করা হচ্ছে। এগুলোর শনাক্তকরণ নম্বর ‘সিভিই-২০২৬-১০৯৬১৮’ ও ‘সিভিই-২০২৬-১০৯৬১৯। ত্রুটি দুটির ঝুঁকির মাত্রা ১০-এর মধ্যে ৯ দশমিক ২, যা উচ্চ ঝুঁকির ইঙ্গিত দেয়।

ত্রুটি দুটির কারণে কিছু পরিস্থিতিতে কোনো ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে আক্রান্ত সার্ভারে ক্ষতিকর নির্দেশনা চালানো সম্ভব হতে পারে। এতে সার্ভারের নিয়ন্ত্রণ নেওয়া, তথ্য চুরি কিংবা ওয়েবসাইটের কার্যক্রম ব্যাহত করার ঝুঁকি রয়েছে। অর্থাৎ, সমস্যা শুধু ওয়েবসাইটের কোনো পৃষ্ঠায় নয়; ওয়েবসাইট পরিচালনার জন্য ব্যবহৃত মূল সফটওয়্যারেও।

যুক্তরাষ্ট্রের জাতীয় স্বাস্থ্যসেবা খাতের সাইবার নিরাপত্তা সংস্থা এনএইচএস ইংল্যান্ড ডিজিটাল জানিয়েছে, ত্রুটি দুটির কার্যকর প্রয়োগ দেখানো হয়েছে এবং ভবিষ্যতে এগুলো কাজে লাগিয়ে হামলার আশঙ্কা বেশি। তবে কোনো সার্ভারে ত্রুটি থাকা মানেই এই নয় যে সেটি ইতিমধ্যে আক্রান্ত হয়েছে।

কারা এর ঝুঁকিতে?

যেসব ওয়েবসাইট ও সার্ভারে ত্রুটিযুক্ত পিএইচপি সংস্করণ ব্যবহার করা হচ্ছে, সেগুলো ঝুঁকিতে থাকতে পারে। এর মধ্যে সরকারি পোর্টাল, ব্যাংক ও আর্থিক প্রতিষ্ঠানের ওয়েবসাইট, সংবাদমাধ্যম, অনলাইন ব্যবসা এবং বিভিন্ন ওয়েবভিত্তিক সেবা রয়েছে। তবে ঝুঁকি নির্ভর করছে কোন সংস্করণ ব্যবহার করা হচ্ছে, সার্ভারের বিন্যাস কেমন এবং নিরাপত্তা হালনাগাদ প্রয়োগ করা হয়েছে কি না; এসব বিষয়ের ওপর।

বাংলাদেশ সরকারের জাতীয় তথ্য বাতায়নের ওয়েবসাইটগুলো পরিচালনার সঙ্গে যুক্ত অ্যাসপায়ার টু ইনোভেট (এটুআই) সূত্রের ভাষ্য, তাদের জাতীয় পোর্টাল পিএইচপিতে তৈরি নয়। ফলে সেগুলো সরাসরি এই ত্রুটির ঝুঁকিতে থাকার কথা নয়। তবে অন্যান্য সরকারি দপ্তরের নিজস্ব ওয়েবসাইট এবং বেসরকারি প্রতিষ্ঠানের সেবা পিএইচপিতে তৈরি হয়ে থাকতে পারে।

দেশের কতটি ওয়েবসাইট বা সার্ভারে পিএইচপি চলছে, তার পূর্ণাঙ্গ ও যাচাই করা হিসাব পাওয়া যায়নি। ড্যাফোডিল ইন্টারন্যাশনাল ইউনিভার্সিটির সাইবার সিকিউরিটি অ্যান্ড ডিজিটাল ফরেনসিকস বিভাগের সহযোগী অধ্যাপক তানভীর হাসান জোহার ধারণা, বাংলাদেশের সরকারি ওয়েবসাইটের ৬০ থেকে ৮৫ শতাংশে পিএইচপি ব্যবহৃত হতে পারে।

শুক্রবার (২৩ অক্টোবর) রাতে তানভীর হাসান জোহা বলেন, প্রথমেই কোন সার্ভারে পিএইচপির কোন সংস্করণ চলছে, তার তালিকা করতে হবে। বিশেষ করে সরাসরি ইন্টারনেটের সঙ্গে যুক্ত সার্ভারগুলোকে অগ্রাধিকার দিয়ে পরীক্ষা ও সুরক্ষিত করতে হবে।

বাংলাদেশ ব্যাংকের ওয়েবসাইট কেন বন্ধ?

গতকাল বৃহস্পতিবার (২২ অক্টোবর) বাংলাদেশ ব্যাংকের ওয়েবসাইট বন্ধ করে দেওয়া হয়। সেসময় ব্যাংকের নির্বাহী পরিচালক ও মুখপাত্র আরিফ হোসেন খান জানান, বিশ্বজুড়ে সাইবার নিরাপত্তা সতর্কতার পর সতর্কতামূলক ব্যবস্থা হিসেবে ওয়েবসাইটটি অফলাইনে রাখা হয়েছে। প্রয়োজনীয় নিরাপত্তাব্যবস্থা নেওয়ার পর এটি চালু করা হবে বলেও জানান তিনি।

একই সময়ে পিএইচপির ত্রুটি নিয়ে আন্তর্জাতিক সতর্কতা জারি হওয়ায় দুটি ঘটনার মধ্যে সম্পর্ক নিয়ে প্রশ্ন তৈরি হয়। তবে বাংলাদেশ ব্যাংকের ওয়েবসাইট এই ত্রুটির কারণে আক্রান্ত হয়েছিল, এমন নিশ্চিত তথ্য পাওয়া যায়নি। ব্যাংকের প্রকাশিত বক্তব্যে ওয়েবসাইট বন্ধ রাখার কারণ হিসেবে সম্ভাব্য সাইবার ঝুঁকি এড়ানোর কথা বলা হয়েছে।

বিশ্বজুড়ে কী ঘটছে?

পিএইচপির ত্রুটি প্রকাশ্যে আসার পর বিভিন্ন দেশের প্রতিষ্ঠান সতর্কতামূলক ব্যবস্থা নিয়েছে। নেদারল্যান্ডস, ফ্রান্স, ডেনমার্ক ও ফিনল্যান্ডের কিছু সংস্থা ওয়েবসাইট বন্ধ রেখেছে বা সেবা সীমিত করেছে। জাপানের নোমুরা ও মিতসুবিশি ইউএফজে ফাইন্যানশিয়াল গ্রুপের মতো প্রতিষ্ঠানও সেবা স্থগিত করার খবর এসেছে।

দ্য ডেইলি স্টারের প্রতিবেদনে বলা হয়েছে, ক্লাউডফ্লেয়ার তাদের ব্যবস্থায় হামলার চেষ্টা হাজার থেকে লাখে বেড়ে যাওয়ার তথ্য জানিয়েছে। সাইবার নিরাপত্তা পর্যবেক্ষণকারী প্রতিষ্ঠান সেনসিসের তথ্য অনুযায়ী, ২৬ লাখ সার্ভারের মধ্যে প্রায় ১৫ লাখে তখনো নিরাপত্তা হালনাগাদ প্রয়োগ করা হয়নি। এই তথ্যগুলো আন্তর্জাতিক পর্যায়ে ঝুঁকির ব্যাপকতা বোঝালেও বাংলাদেশের কোনো নির্দিষ্ট ওয়েবসাইট আক্রান্ত হয়েছে; তা প্রমাণ করে না।

ঝুঁকি কমাতে এখন কী করা দরকার?

বাংলাদেশ সরকারের সাইবার নিরাপত্তা ঘটনার প্রতিক্রিয়া ও সমন্বয়ের দায়িত্বে থাকা বিজিডি ই-গভ সার্ট ২২ অক্টোবর এ বিষয়ে সতর্কতা জারি করে। সংস্থাটি প্রতিষ্ঠানগুলোকে তাদের সার্ভারে কোথায় পিএইচপি ব্যবহৃত হচ্ছে, কোন সংস্করণ চলছে এবং কোনগুলো ঝুঁকিতে রয়েছে, তা দ্রুত শনাক্ত করার পরামর্শ দিয়েছে।

পিএইচপি কর্তৃপক্ষ নিরাপত্তা ত্রুটি সমাধানে ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ ও ৮.২.৩৫ সংস্করণ প্রকাশ করেছে। প্রতিষ্ঠানগুলোকে নিজেদের ব্যবহৃত সংস্করণ অনুযায়ী উপযুক্ত নিরাপত্তা হালনাগাদ প্রয়োগ করতে হবে। শুধু ওয়েবসাইটের অ্যাপ্লিকেশন বা কাঠামো হালনাগাদ করলেই হবে না; সার্ভারে ওয়েব অনুরোধ পরিচালনাকারী পিএইচপি সফটওয়্যারেও সংশোধন কার্যকর হয়েছে কি না, তা নিশ্চিত করতে হবে।

তাৎক্ষণিকভাবে হালনাগাদ করা সম্ভব না হলে ফায়ারওয়ালের মাধ্যমে প্রবেশাধিকার সীমিত করা, নির্দিষ্ট ঠিকানা থেকে সংযোগ অনুমোদন করা এবং প্রয়োজন হলে ঝুঁকিপূর্ণ সার্ভারের ইন্টারনেট সংযোগ সাময়িকভাবে বন্ধ রাখার পরামর্শ দেওয়া হয়েছে। পাশাপাশি সার্ভারের সাম্প্রতিক লগ পরীক্ষা করে অস্বাভাবিক অনুরোধ, অননুমোদিত প্রবেশের চেষ্টা কিংবা সন্দেহজনক কার্যক্রমের চিহ্ন খুঁজতে হবে। আগে থেকেই কোনো অনুপ্রবেশ ঘটেছে কি না, সেটিও যাচাই করা জরুরি। সফটওয়্যার হালনাগাদ করলেই আগের অনুপ্রবেশ বা ক্ষতিকর পরিবর্তন স্বয়ংক্রিয়ভাবে দূর হয় না।

তানভীর হাসান জোহা মনে করেন, শুধু নিরাপত্তা সফটওয়্যার কিনে রাখলেই হবে না। সময়মতো হালনাগাদ, প্রবেশাধিকার নিয়ন্ত্রণ, নিয়মিত নজরদারি, পরীক্ষিত ব্যাকআপ এবং সাইবার ঘটনার জবাব দেওয়ার জন্য দায়িত্বপ্রাপ্ত দল থাকা জরুরি। তার ভাষ্য, সামাজিক যোগাযোগমাধ্যমে প্রকাশিত কোনো দাবি তদন্তের সূত্র হতে পারে, কিন্তু সেটি নিজে থেকেই কোনো সিস্টেম আক্রান্ত হওয়ার প্রমাণ নয়।

সাইবার অপরাধ মোকাবিলায় পুলিশের প্রস্তুতি কতটা?

বাংলাদেশে সাইবার অপরাধ তদন্তে পুলিশের বিভিন্ন ইউনিট কাজ করছে। বাংলাদেশ সংবাদ সংস্থার ২৩ অক্টোবর প্রকাশিত প্রতিবেদন অনুযায়ী, ২০২৫ সালের ১ সেপ্টেম্বর থেকে ২০২৬ সালের ২৩ সেপ্টেম্বর পর্যন্ত পুলিশের অপরাধ তদন্ত বিভাগে (সিআইডি) সাইবার অপরাধের ১৯১টি মামলা হয়েছে। এর মধ্যে ৩২টি জিআর এবং ১৫৯টি সিআর মামলা। এসব মামলায় ১০১ জনকে গ্রেফতার করা হয়েছে।

এদিকে, ২০২৬ সালের ১ জানুয়ারি থেকে ঢাকা মহানগর পুলিশের (ডিএমপি) আট বিভাগে সাইবার অপরাধের ৩০৫টি মামলা হয়েছে এবং গ্রেফতার করা হয়েছে ৪০৬ জনকে।

পুলিশের সাইবার অপরাধ তদন্ত ও ডিজিটাল আলামত বিশ্লেষণের সক্ষমতা বাড়ানোর উদ্যোগও রয়েছে। সিআইডির সাইবার ট্রেনিং সেন্টার, ফরেনসিক ট্রেনিং ইনস্টিটিউট ও ডিটেকটিভ ট্রেনিং স্কুলে প্রশিক্ষণ কার্যক্রম চলছে। ডিএমপির গোয়েন্দা শাখায় সাইবার ল্যাব রয়েছে; কাউন্টার টেররিজম অ্যান্ড ট্রান্সন্যাশনাল ক্রাইম ইউনিটে ফরেনসিক ল্যাব স্থাপনের অনুমোদনও দেওয়া হয়েছে।

এ ছাড়া ১ অক্টোবর ঢাকায় আলাদা সাইবার পুলিশ ইউনিট গঠনের কথা জানিয়েছে পুলিশ সদর দফতর। এতে পুলিশ ও অন্যান্য পর্যায়ের ৪ হাজার ৫৯২ জন জনবল রয়েছে। বিভাগ, জেলা ও থানাপর্যায়ে সাইবার অপরাধ তদন্তে আলাদা কার্যক্রম বা ডেস্কও চালু করা হয়েছে। এসব উদ্যোগ সাধারণ সাইবার অপরাধ মোকাবিলায় সহায়ক হলেও পিএইচপি২শেলের মতো নির্দিষ্ট প্রযুক্তিগত দুর্বলতা মোকাবিলার সক্ষমতা যাচাই করতে সার্ভার পর্যায়ের তদন্ত, দ্রুত তথ্য বিনিময় ও ডিজিটাল ফরেনসিকের কার্যকারিতাও দেখতে হবে।

আতঙ্ক নয়, প্রয়োজন দ্রুত যাচাই

পিএইচপির নিরাপত্তাত্রুটিকে হালকাভাবে নেওয়ার সুযোগ নেই। আবার যাচাই ছাড়া কোনো ওয়েবসাইট বা প্রতিষ্ঠানকে আক্রান্ত ঘোষণা করাও ঠিক হবে না। কোনো সার্ভার ঝুঁকিতে আছে কি না, সেটি নির্ভর করে ব্যবহৃত সফটওয়্যার সংস্করণ, নিরাপত্তা হালনাগাদ এবং সার্ভারের বিন্যাসের ওপর।

বিশেষজ্ঞরা বলছেন, প্রতিষ্ঠানগুলোর এখনই সার্ভারের তালিকা তৈরি, ঝুঁকিপূর্ণ সংস্করণ শনাক্ত, নিরাপত্তা হালনাগাদ প্রয়োগ এবং সন্দেহজনক কার্যক্রমের তদন্ত করা দরকার। সাধারণ ব্যবহারকারীদেরও অপরিচিত লিংকে প্রবেশ, পাসওয়ার্ড বা এককালীন পিন (ওটিপি) দেওয়ার ক্ষেত্রে সতর্ক থাকতে হবে।

তানভীর হাসান জোহা বলেন, ‘ভবিষ্যতে সাইট বন্ধ না করে সেবা চালু রাখার প্রস্তুতিও জরুরি, যেমন স্ট্যাটিক মিরর ও বিকল্প ঘোষণা-মাধ্যম। এখন পর্যন্ত নিশ্চিত সফল হামলার খবর আমি পাইনি। তাই আতঙ্ক নয়, দ্রুত পদক্ষেপই কাম্য।’

সাধারণ ব্যবহারকারীদের জন্য পরামর্শ দিয়ে তিনি বলেন, ‘শুধু অফিসিয়াল অ্যাপ ও চ্যানেল ব্যবহার করুন। ওটিপি বা পিন কাউকে দেবেন না, আর ‘সাইট বন্ধ, লিংকে তথ্য দিনৎ ধরনের বার্তা এড়িয়ে চলুন। সাইবার নিরাপত্তা ভয়ের নয়, অভ্যাসের বিষয়।’