PHP2Shell আপনার HostHolder ওয়েবসাইট সুরক্ষিত
PHP-র গুরুতর দুইটি নিরাপত্তা ত্রুটি CVE-2026-109618 ও CVE-2026-109619 ("PHP2Shell") থেকে HostHolder-এর সব server সম্পূর্ণ সুরক্ষিত। ত্রুটি ঘোষণার দিন, ২১ অক্টোবর ২০২৬ থেকেই সুরক্ষা চালু ছিল, তাই কোনো গ্রাহকের ওয়েবসাইট বন্ধ রাখতে হয়নি।
কী ঘটেছে
২১ অক্টোবর ২০২৬ তারিখে PHP প্রজেক্ট দুইটি গুরুতর নিরাপত্তা ত্রুটি ঠিক করেছে। এগুলোর মাধ্যমে কোনো password ছাড়াই দূর থেকে web server-এ ক্ষতিকর code চালানো সম্ভব। দুইটির ঝুঁকির মান ১০-এর মধ্যে ৯.২ (CVSS v4), আর হামলার code ইতোমধ্যে প্রকাশ্যে পাওয়া যাচ্ছে।
CVE-2026-109618: memory শেষ হয়ে যাওয়ার সুযোগ নিয়ে code চালানো।
CVE-2026-109619: আগের request-এর রয়ে যাওয়া তথ্যের সুযোগ নিয়ে code চালানো।
PHP 7.x ও 8.x-এর প্রায় সব ধরনের web server এতে ঝুঁকিতে আছে। ২২ অক্টোবর সরকারের সাইবার নিরাপত্তা সংস্থা BGD e-GOV CIRT জরুরি সতর্কবার্তা দেয়। সতর্কতা হিসেবে বাংলাদেশ ব্যাংক, ছয়টি বাণিজ্যিক ব্যাংক ও ভূমি সেবার ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়। নিরাপত্তা যাচাইয়ের পর ২৫ অক্টোবর বাংলাদেশ ব্যাংকের ওয়েবসাইট আবার চালু হয়েছে।
HostHolder কী করেছে
ঘোষণার দিনই আমরা ব্যবস্থা নিয়েছি, তাই আমাদের server কখনো অরক্ষিত ছিল না এবং কোনো ওয়েবসাইট বন্ধ করতে হয়নি।
তারিখ | কী করা হয়েছে | অবস্থা |
|---|---|---|
২৬ অক্টোবর ২০২৬ | server-এর প্রতিটি PHP package, firewall ruleset ও control panel version যাচাই | সম্পন্ন |
২৬ অক্টোবরের মধ্যে | cPanel & WHM 11.138.0.18 ও WP Toolkit 6.11.6, যাতে WordPress Toolkit-এর আলাদা একটি ত্রুটিও ঠিক হয়েছে | সম্পন্ন |
২৬ অক্টোবরের মধ্যে | Imunify360 firewall rule, যা PHP2Shell-এর পরিচিত হামলা আটকায় (ruleset 8.89) | চালু |
২৩ অক্টোবর ২০২৬ | patched PHP install: 8.2.35, 8.3.36, 8.4.27 ও 7.4-এর patched build | সম্পন্ন |
২১ অক্টোবর ২০২৬ | advisory প্রকাশের কয়েক ঘণ্টার মধ্যে সব PHP version-এ অফিসিয়াল অস্থায়ী সুরক্ষা | সম্পন্ন |
চলমান | প্রতিদিন malware scan, real-time ফাইল scan ও আক্রান্ত account স্বয়ংক্রিয়ভাবে আলাদা করা | চালু |
আমাদের server-এ PHP চলে PHP-FPM দিয়ে, advisory-তে যে mod_php পদ্ধতিকে সবচেয়ে ঝুঁকিপূর্ণ বলা হয়েছে সেটা দিয়ে নয়।
আপনার করণীয়
আপনার ওয়েবসাইট ইতোমধ্যে সুরক্ষিত। তবে এমন PHP version ব্যবহার করার জোর পরামর্শ দিচ্ছি, যেটা এখনো নিরাপত্তা আপডেট পায়। PHP 8.1 ও তার আগের version আর অফিসিয়াল আপডেট পায় না, আর PHP 8.2-এর মেয়াদ শেষ হবে ৩১ ডিসেম্বর ২০২৬।
PHP version | নিরাপত্তা আপডেট | আমাদের পরামর্শ |
|---|---|---|
8.4 | চালু | ব্যবহার করুন |
8.3 | চালু | ব্যবহার করুন |
8.2 | ৩১ ডিসেম্বর ২০২৬ পর্যন্ত | এখনই upgrade-এর পরিকল্পনা করুন |
8.1 ও আগের | বন্ধ | যত দ্রুত সম্ভব upgrade করুন |
cPanel-এ PHP version বদলানোর নিয়ম:
cPanel-এ login করে MultiPHP Manager খুলুন।
আপনার domain-এ টিক দিয়ে তালিকা থেকে PHP 8.3 (বা 8.4) বেছে নিন।
Apply চাপুন, তারপর ওয়েবসাইট খুলে দেখুন সব ঠিকমতো চলছে কিনা।
কিছু ঠিকমতো না চললে একই নিয়মে আগের version-এ ফিরে যান এবং আপনার developer-কে code আপডেট করতে বলুন।
এছাড়া অনুরোধ:
WordPress, plugin ও theme সবসময় আপডেট রাখুন, আর অব্যবহৃত plugin বা theme মুছে ফেলুন।
নিজের কাছে backup রাখুন: cPanel → Backup থেকে Home Directory ও MySQL database মাসে অন্তত একবার download করুন।
অস্বাভাবিক কিছু দেখলে, যেমন অচেনা admin user, অদ্ভুত page বা ওয়েবসাইট না খোলা, দেরি না করে আমাদের জানান।