কী ঘটেছে?
২১ অক্টোবর ২০২৬-এ PHP প্রকল্প দুটি গুরুতর দুর্বলতার জন্য নিরাপত্তা আপডেট প্রকাশ করে: CVE-2026-109618 ও CVE-2026-109619। তাদের সতর্কবার্তা অনুযায়ী, পরিচয় যাচাই ছাড়াই দূর থেকে কোড চালানোর সুযোগ তৈরি হতে পারে। PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ও LiteSpeed-সহ ওয়েব অনুরোধ পরিবেশনকারী PHP ইনস্টলেশন ঝুঁকিতে থাকতে পারে।
প্রথম দুর্বলতাটি মেমোরি ফুরিয়ে যাওয়ার সময় অসম্পূর্ণভাবে প্রস্তুত অনুরোধের তথ্য ব্যবহারের সঙ্গে সম্পর্কিত। দ্বিতীয়টিতে অনুরোধের অভ্যন্তরীণ তথ্য মেমোরি মুক্ত হওয়ার পরেও রয়ে যেতে পারে। সমস্যাগুলো PHP রানটাইমে; তাই অ্যাপ্লিকেশনের নিজস্ব কোড পরীক্ষা করা থাকলেও আপডেট জরুরি।
কোন সংস্করণে সমাধান আছে?
PHP প্রকল্প অনুযায়ী সংশ্লিষ্ট শাখাগুলোর সংশোধিত সংস্করণ হলো 8.2.35, 8.3.36, 8.4.27 ও 8.5.12। কমান্ড লাইনে ইনস্টল থাকা সংস্করণ নয়, ওয়েব সার্ভার বা কন্টেইনারে সত্যিই চালু সংস্করণটি যাচাই করুন। PHP 8.2-এর নিরাপত্তা সহায়তা ৩১ ডিসেম্বর ২০২৬-এ শেষ হবে; এই শাখায় থাকলে পরবর্তী সমর্থিত সংস্করণে যাওয়ার পরিকল্পনাও করুন।
দলের করণীয়
প্রোডাকশন, স্টেজিং, কন্টেইনার, হোস্টিং ও পুরোনো সাইটে ব্যবহৃত PHP রানটাইমের তালিকা করুন। অ্যাপ্লিকেশন, ডেটাবেস ও কনফিগারেশনের ব্যাকআপ নিয়ে সংশ্লিষ্ট শাখার সংশোধিত সংস্করণে আপডেট করুন। এরপর নতুন বাইনারি চালু করতে ওয়ার্কার বা সার্ভিস পুনরায় চালু করুন।
ডিপ্লয়ের পর ওয়েবে চালু PHP সংস্করণ নিশ্চিত করুন, গুরুত্বপূর্ণ ব্যবহারকারী কাজগুলো পরীক্ষা করুন এবং ত্রুটির লগ দেখুন। অস্বাভাবিক অনুরোধের জন্য লগ পর্যালোচনা করুন; অনুপ্রবেশের ইঙ্গিত পেলে আপনার ইনসিডেন্ট প্রক্রিয়া অনুসরণ করুন। অ্যাপ্লিকেশন ডিপেনডেন্সি আপডেট করলেও PHP রানটাইমের আপডেটের বিকল্প হয় না।
সংশ্লিষ্টদের কী জানাবেন
কোন পরিবেশে ঝুঁকি ছিল, এখন কোন সংস্করণ চলছে, কখন আপডেট হয়েছে এবং কীভাবে যাচাই করেছেন—এগুলো স্পষ্টভাবে জানান। ফায়ারওয়াল নিয়ম বা কনফিগারেশন পরিবর্তনেই সমস্যার সম্পূর্ণ সমাধান হয়েছে এমন দাবি করবেন না। PHP প্রকল্পের মতে, আপডেট করাই নিরাপদ পথ।
