অ্যাডভাইজরি অনুযায়ী, এ দুর্বলতা কাজে লাগানোর জন্য চারটি শর্ত একসঙ্গে পূরণ হতে হবে। প্রথমত, সেশনের তথ্য সংরক্ষণে পিএইচপির নির্দিষ্ট দুটি পদ্ধতির যেকোনো একটি ব্যবহার করতে হবে।
পিএইচপি প্রোগ্রামিং ভাষায় নতুন একটি নিরাপত্তা দুর্বলতা শনাক্ত হয়েছে। এ দুর্বলতা কাজে লাগিয়ে আক্রান্ত সার্ভারে দূর থেকে অননুমোদিত কোড চালানোর সুযোগ তৈরি হতে পারে। ত্রুটিটির স্থায়ী সমাধানে এখনো আনুষ্ঠানিক নিরাপত্তা প্যাচ প্রকাশ না হওয়ায় সম্ভাব্য ঝুঁকি কমাতে জরুরি প্রতিরোধমূলক ব্যবস্থা নেয়ার পরামর্শ দিয়েছে সরকারের সাইবার নিরাপত্তাবিষয়ক সংস্থা বিজিডি ই-গভ সার্ট।
সার্টের সাইবার থ্রেট অ্যাডভাইজরিতে সিভিই-২০২৬-১১৫৫৬০ নম্বরের এ দুর্বলতাকে উচ্চ ঝুঁকি হিসেবে চিহ্নিত করা হয়েছে। পিএইচপির সেশন ব্যবস্থাপনা ও ফাইল আপলোডের অগ্রগতি দেখানোর একটি সুবিধা একসঙ্গে কাজ করার সময় এ ত্রুটি তৈরি হতে পারে। তবে নির্দিষ্ট কিছু কনফিগারেশন ও কোডের শর্ত পূরণ হলেই কেবল হ্যাকাররা এ দুর্বলতা কাজে লাগাতে পারবে।
অ্যাডভাইজরি অনুযায়ী, এ দুর্বলতা কাজে লাগানোর জন্য চারটি শর্ত একসঙ্গে পূরণ হতে হবে। প্রথমত, সেশনের তথ্য সংরক্ষণে পিএইচপির নির্দিষ্ট দুটি পদ্ধতির যেকোনো একটি ব্যবহার করতে হবে। দ্বিতীয়ত, অ্যাপ্লিকেশনের কোডে নির্দিষ্ট নির্দেশনার মাধ্যমে ওই পদ্ধতি পরিবর্তন করে পিএইচপির সাধারণ পদ্ধতিতে আনতে হবে। তৃতীয়ত, সেশন চালু হওয়ার আগেই এ পরিবর্তন করতে হবে। চতুর্থত, সেশন আপলোড প্রগ্রেস সুবিধাটি চালু থাকতে হবে। এসব শর্তের কোনো একটি পূরণ না হলে অ্যাডভাইজরিতে বর্ণিত আক্রমণের পথটি কার্যকর হওয়ার কথা নয়।
ঝুঁকি কমাতে সেশন আপলোড প্রগ্রেস সুবিধাটি বন্ধ রাখার পরামর্শ দিয়েছে সার্ট। এজন্য পিএইচপির সংশ্লিষ্ট সেটিংসে এ সুবিধা বন্ধ করতে হবে। পরিবর্তন কার্যকর করতে পিএইচপি প্রসেস বা সংশ্লিষ্ট সেবা পুনরায় চালু করার নির্দেশনাও রয়েছে অ্যাডভাইজরিতে। পাশাপাশি অ্যাপ্লিকেশনের কোডে সেশনের তথ্য সংরক্ষণের পদ্ধতি অপ্রয়োজনে পরিবর্তন করা হচ্ছে কিনা, তা পর্যালোচনা করতে বলা হয়েছে।
নতুন এ দুর্বলতা শনাক্তে নির্দিষ্ট কোনো নেটওয়ার্কভিত্তিক সংকেত না থাকায় সংশ্লিষ্ট সিস্টেমের কার্যক্রম নিবিড়ভাবে পর্যবেক্ষণের ওপর গুরুত্ব দিয়েছে সার্ট। বিশেষ করে পিএইচপি প্রসেসের অস্বাভাবিক আচরণ, মূল বা অস্থায়ী ফোল্ডারে নতুন ফাইল তৈরি এবং অপ্রত্যাশিতভাবে বাইরের নেটওয়ার্কে সংযোগ স্থাপনের মতো কার্যক্রম নজরদারিতে রাখতে বলা হয়েছে।
কোনো সিস্টেম আক্রান্ত হয়েছে বলে সন্দেহ হলে সেটিকে নেটওয়ার্ক থেকে বিচ্ছিন্ন করা, লগ সংরক্ষণ এবং কনফিগারেশন যাচাই করার পরামর্শও দিয়েছে সংস্থাটি। একই সঙ্গে সংবেদনশীল তথ্যের নিরাপত্তা নিশ্চিত করতে সংশ্লিষ্ট পাসওয়ার্ড ও অন্যান্য গোপন প্রবেশ-তথ্য পরিবর্তন এবং সিস্টেমের নিরাপত্তা পর্যবেক্ষণ অব্যাহত রাখার কথা বলা হয়েছে।
এর আগে গত ২১ অক্টোবর পিএইচপি কর্তৃপক্ষের প্রকাশ করা দুটি নিরাপত্তা দুর্বলতা ঘিরে আন্তর্জাতিক পর্যায়ে উদ্বেগ তৈরি হয়। ওই দুই দুর্বলতার জন্য নিরাপত্তা হালনাগাদ প্রকাশ করা হলেও নতুন শনাক্ত হওয়া ত্রুটিটির জন্য এখনো আনুষ্ঠানিক প্যাচ প্রকাশ করা হয়নি। সার্টের অ্যাডভাইজরিতে নতুন এ দুর্বলতাকে পিএইচপি২শেল নামে আলোচিত আগের দুটি দুর্বলতা থেকে আলাদা হিসেবে উল্লেখ করা হয়েছে।
নতুন শনাক্ত হওয়া নিরাপত্তা ত্রুটিটি আগের দুটির চেয়েও বেশি ঝুঁকিপূর্ণ বলে জানিয়েছেন বিজিডি ই-গভ সার্টের প্রকল্প পরিচালক মো. নাজমুল হক। তিনি বণিক বার্তাকে বলেন, ‘পিএইচপিতে আগের দুটি নিরাপত্তা দুর্বলতার পর নতুন আরেকটি দুর্বলতা শনাক্ত হয়েছে। আগের দুটি দুর্বলতার জন্য পিএইচপি কর্তৃপক্ষ নিরাপত্তা হালনাগাদ বা প্যাচ প্রকাশ করলেও নতুনটির জন্য এখনো আনুষ্ঠানিক প্যাচ প্রকাশ করা হয়নি। এ কারণে সংশ্লিষ্ট সিস্টেমগুলোকে ঝুঁকি কমাতে পিএইচপির সর্বশেষ নিরাপত্তা হালনাগাদ বা রিভিশন প্রকাশিত হলে তা প্রয়োগ করতে হবে। নতুন এ দুর্বলতার কারণে তথ্য ফাঁস বা সিস্টেম হ্যাক হওয়ার ঝুঁকি তৈরি হতে পারে।’