PHP2Shell: PHP-র দুই গুরুতর দুর্বলতায় বিশ্বজুড়ে সতর্কতা, PHP বনাম Python কোথায় দাঁড়িয়ে

PHP-র দুটি গুরুতর দুর্বলতা (CVE-2026-109618, CVE-2026-109619) নিয়ে বিশ্বজুড়ে সতর্কতা। কী ঘটেছে, কোন PHP সংস্করণে প্যাচ, ওয়েবসাইট মালিকদের করণীয় এবং PHP বনাম Python-ভিত্তিক CMS-এর তুলনা।

২১ অক্টোবর প্রকাশিত PHP-র দুটি নিরাপত্তা দুর্বলতা (CVE-2026-109618 ও CVE-2026-109619) নির্দিষ্ট পরিবেশে অনুমতি ছাড়াই সার্ভারে কোড চালানোর সুযোগ দিতে পারে। প্যাচ প্রকাশিত হয়েছে, এবং কয়েকটি নিরাপত্তা প্রতিষ্ঠান বাস্তব আক্রমণচেষ্টার কথা জানিয়েছে। এই ঘটনার পর PHP ও Python ওয়েব প্রযুক্তির তুলনা এবং Python-ভিত্তিক CMS নিয়ে আলোচনা বাড়ছে।

কী ঘটেছে

PHP-র নিরাপত্তা বিজ্ঞপ্তি অনুযায়ী ২১ অক্টোবর ২০২৬ দুটি গুরুতর দুর্বলতার সমাধানসহ নতুন সংস্করণ প্রকাশ করা হয়। দুর্বলতাগুলো "PHP2Shell" নামে পরিচিত হয়েছে।

CVE-2026-109618: অনুরোধ শেষে মেমরি পরিষ্কারের সময় out-of-memory জনিত মেমরি বিকৃতি, যা থেকে রিমোট কোড চালানো সম্ভব।
CVE-2026-109619: একই ওয়ার্কারে পরবর্তী অনুরোধে আগের অনুরোধের পুরনো গ্লোবাল স্টেট ব্যবহৃত হওয়া।

দুটির তীব্রতা CVSS v4.0 স্কোরে ৯.২। ঝুঁকিতে থাকতে পারে ওয়েব অনুরোধ সামলানো PHP পরিবেশ: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed।

প্যাচ করা সংস্করণ: PHP 8.5.12, 8.4.27, 8.3.36 ও 8.2.35।
PHP 8.1 ও তার পুরনো সংস্করণ আর অফিসিয়ালভাবে সমর্থিত নয়। তবে ডিস্ট্রিবিউশন বা LTS সরবরাহকারীরা ব্যাকপোর্ট দিতে পারে, এবং PHP 7.4, 8.0, 8.1-এর জন্য ন্যূনতম সোর্স ব্যাকপোর্ট প্রকাশ হয়েছে।

আক্রমণ কতদূর

নিরাপত্তা প্রতিষ্ঠান watchTowr বাস্তব আক্রমণ (in-the-wild exploitation) দেখার কথা জানিয়েছে।
watchTowr-এর FAQ অনুযায়ী মার্কিন সাইবার নিরাপত্তা সংস্থা CISA ২৬ অক্টোবর CVE-2026-109618-কে "Known Exploited Vulnerabilities" তালিকায় যুক্ত করেছে।
Palo Alto Networks-এর Unit 42 জানিয়েছে, ইন্টারনেটে খোলা PAN-OS ম্যানেজমেন্ট ইন্টারফেসের বিরুদ্ধে আক্রমণ চলছে।
সূত্রগুলোর মধ্যে আক্রমণের ব্যাপ্তি নিয়ে কিছু পার্থক্য আছে। এ পর্যন্ত প্যাচ করা PHP সংস্করণ ভেঙে ফেলার প্রমাণ প্রকাশিত হয়নি।
আলাদা একটি সমস্যা (CVE-2026-115560, session upload progress) নিয়েও সতর্কতা আছে।

এটি PHP ভাষার সামগ্রিক ব্যর্থতা নয়। এটি PHP-র Core Engine-এর নির্দিষ্ট দুর্বলতা, যার প্যাচ আছে। প্রধান ঝুঁকি হলো আপডেট না করা সার্ভার।

ওয়েবসাইট মালিকদের করণীয়

সার্ভারের PHP সংস্করণ দেখুন (php -v এবং PHP-FPM / mod_php আলাদাভাবে)।
উপরের প্যাচ করা সংস্করণে আপডেট করুন, অথবা হোস্টিং/ডিস্ট্রো সরবরাহকারীর ব্যাকপোর্ট নিশ্চিত করুন।
শুধু WordPress বা OpenCart আপডেট যথেষ্ট নয়: সার্ভারের PHP Runtime, PHP-FPM ও Extensions-ও দেখতে হবে।
সন্দেহজনক প্রক্রিয়া খুঁজুন, বিশেষ করে PHP ওয়ার্কার থেকে অস্বাভাবিক child process চালু হয়েছে কি না।
শেয়ার্ড হোস্টিংয়ে থাকলে হোস্টিং প্রতিষ্ঠানকে প্যাচের অবস্থা জিজ্ঞেস করুন।

PHP বনাম Python: ওয়েবে কে কোথায়

W3Techs-এর অক্টোবর ২০২৬ পরিসংখ্যান অনুযায়ী, যেসব ওয়েবসাইটে সার্ভার-সাইড ভাষা শনাক্ত করা যায়, তার প্রায় ৬৯% PHP ব্যবহার করে। Python-এর অংশ মাত্র প্রায় ১%। অর্থাৎ ওয়েবে PHP এখনও অনেক বড়, এবং Python এখনও ছোট খেলোয়াড়। (সংখ্যা প্রতিদিন বদলায়; একটি সাইট একাধিক ভাষাও ব্যবহার করতে পারে।)

ওয়েবে অংশ: PHP প্রায় ৬৯%, Python প্রায় ১%।
বড় CMS: PHP-র WordPress (সব ওয়েবসাইটের প্রায় ৪০%), OpenCart, Drupal; Python-এর Wagtail, django CMS, Plone, Saleor।
হোস্টিং: PHP প্রায় সব শেয়ার্ড হোস্টিংয়ে সহজে চলে; Python সাধারণত VPS বা ক্লাউড/অ্যাপ হোস্টিং চায়, শেয়ার্ডে সীমিত।
প্লাগিন/থিম বাজার: PHP-তে বিশাল ও ডেভেলপার পাওয়া সহজ; Python-এ তুলনায় ছোট।
AI, ডেটা, অটোমেশন: Python-এর স্বাভাবিক শক্তি, একই ভাষায় AI সংযুক্ত করা সহজ; PHP-তে সাধারণত আলাদা টুল লাগে।
কোড গঠন: PHP-তে দীর্ঘদিনের লেগাসি কোড ও পুরনো প্লাগিন ঝুঁকি বাড়াতে পারে; Python পড়তে সহজ, আধুনিক ফ্রেমওয়ার্ক (Django ইত্যাদি) আছে।
নিরাপত্তা: PHP-তে সাম্প্রতিক PHP2Shell-এর মতো Core দুর্বলতা এসেছে; Python ও Django-তেও নিয়মিত দুর্বলতা প্রকাশ পায়, প্যাচ প্রক্রিয়াও চলে।

বিশ্লেষণ:

PHP-র শক্তি হলো বিশাল ইকোসিস্টেম, সস্তা হোস্টিং ও প্রচুর ডেভেলপার। দুর্বলতা হলো বিশাল বাজার বলেই আক্রমণকারীদের প্রধান লক্ষ্য হওয়া এবং পুরনো প্লাগিন/সংস্করণ নিয়ে ঝুঁকি।
Python-এর শক্তি হলো AI ও অটোমেশনের সঙ্গে সহজ সংযুক্তি এবং আধুনিক ফ্রেমওয়ার্ক। দুর্বলতা হলো ওয়েব CMS বাজারে ছোট অংশ, ছোট প্লাগিন ইকোসিস্টেম ও হোস্টিংয়ের সীমাবদ্ধতা।
কোনো ভাষাই দুর্বলতামুক্ত নয়। PHP2Shell থেকে মূল শিক্ষা: রানটাইম আপডেট, দ্রুত প্যাচ ও কম অধিকারে অ্যাপ চালানো যেকোনো প্রযুক্তিতেই জরুরি। তবে এই ঘটনার পর অনেক প্রতিষ্ঠান নিজেদের প্রযুক্তি-নির্ভরতা নতুন করে ভাবছে, ফলে বিকল্প ইকোসিস্টেমের প্রতি আগ্রহ বাড়তে পারে।

Python-ভিত্তিক CMS ও কমার্স প্ল্যাটফর্ম

Python শুধু AI বা ডেটা সায়েন্সের ভাষা নয়; Django-র মতো ফ্রেমওয়ার্কে পূর্ণাঙ্গ CMS, ই-কমার্স ও API তৈরি হচ্ছে।

Wagtail (Python + Django): Enterprise CMS। অফিসিয়াল সাইট অনুযায়ী Google, NASA, NHS-সহ প্রতিষ্ঠান ব্যবহার করে।
django CMS (Python + Django): কর্পোরেট ওয়েবসাইটের কনটেন্ট ম্যানেজমেন্ট।
Plone (Python): প্রায় ২৫ বছরের পুরনো Enterprise ও সরকারি পর্যায়ের CMS।
Saleor (Python + Django): Headless কমার্স; ২০২৪ সালে $৮ মিলিয়ন Seed Extension রাউন্ড (Target Global ও Zalando নেতৃত্বে, সূত্রভেদে বর্ণনা কিছুটা ভিন্ন)।
Mezzanine (Python + Django): ওপেন-সোর্স CMS।
DS-Pythone (Python): বাংলাদেশের DearSoft-এর তৈরি Python-ভিত্তিক CMS ও ই-কমার্স প্ল্যাটফর্ম; AI ও ERP Python-ভিত্তিক CMS প্ল্যাটফর্ম।

সব Python প্ল্যাটফর্ম একই ধরনের নয়: কোনোটি CMS, কোনোটি Headless API, কোনোটি ই-কমার্স ইঞ্জিন। বিনিয়োগ (Funding) ও বার্ষিক আয় (Revenue)-ও এক জিনিস নয়; Saleor-এর $৮ মিলিয়ন তাদের আয় নয়।

DS-Pythone-এর স্বাধীন নিরাপত্তা অডিট, গ্রাহকসংখ্যা, বাজারে অংশ ও আয় প্রকাশিত নয় এবং এই প্রতিবেদনে যাচাই করা হয়নি।