পিএইচপিতে শনাক্ত দুটি গুরুতর নিরাপত্তা ত্রুটি নিয়ে বাংলাদেশ সরকারের কম্পিউটার ইনসিডেন্ট রেসপন্স টিম বিজিডি ই-গভ সার্ট উচ্চ সতর্কতা জারি করেছে। ‘পিএইচপি২শেল’ নামে পরিচিত ত্রুটি দুটির সুযোগ নিয়ে হ্যাকাররা ইউজারনেম বা পাসওয়ার্ড ছাড়াই দূর থেকে ওয়েবসাইটের সার্ভারের পূর্ণ নিয়ন্ত্রণ নিতে পারে। ত্রুটিগুলোর আইডি CVE-2026-109618 ও CVE-2026-109619; সিভিএসএস স্কোর ৯.২।

সার্ট জানায়, সমস্যাটি পিএইচপির মেমোরি ব্যবস্থাপনার সঙ্গে সম্পর্কিত। সার্ভারের মেমোরি শেষ হয়ে গেলে বা মেমোরি খালি করার পর পুরনো রিকোয়েস্টের ডেটা থেকে যাওয়ার সুযোগে বিশেষভাবে তৈরি এইচটিটিপি রিকোয়েস্ট পাঠিয়ে ক্ষতিকর কোড চালানো সম্ভব হতে পারে। PHP-FPM ও অ্যাপাচির mod_php ব্যবহারকারীরা সবচেয়ে বেশি ঝুঁকিতে রয়েছে।

PHP-CGI, FrankenPHP, LiteSpeed, ডকার কন্টেইনার ও শেয়ার্ড হোস্টিংয়ের সরকারি পোর্টাল, ব্যাংক, ই-কমার্স এবং ওয়ার্ডপ্রেস ও লারাভেলভিত্তিক সাইটও হুমকিতে রয়েছে। সার্ট দ্রুত PHP রানটাইম ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ বা ৮.২.৩৫ সংস্করণে হালনাগাদের নির্দেশ দিয়েছে। প্যাচ দেওয়া না গেলে সাময়িকভাবে ভিপিএন, আইপিভিত্তিক অনুমোদন তালিকা ও বাড়তি লগ পর্যবেক্ষণের পরামর্শ দেওয়া হয়েছে।