প্লাগইন ডেভেলপার আপডেট না দিলে কী হবে? ওয়ার্ডপ্রেস সাইট রক্ষার সমাধান

প্লাগইন ডেভেলপার আপডেট দেন না: ওয়ার্ডপ্রেস সাইট মালিকদের সবসময় পরামর্শ দেওয়া হয় ওয়ার্ডপ্রেস কোর এবং অ্যাড-অন (থিম ও প্লাগইন) আপডেট রাখতে। আপডেট না করলে অ্যাড-অনগুলোর মধ্যে দুর্বলতা তৈরি হয় যা হ্যাকাররা আক্রমণের সুযোগ হিসেবে ব্যবহার করে। কিন্তু কী হবে যদি কোনো দুর্বলতা খুঁজে পাওয়ার কিছুক্ষণ পরেও ডেভেলপার আপডেট জারি না করে? সাইট মালিকরা তখন কী করবেন? এই পোস্টের লক্ষ্য হলো ডেভেলপার আপডেট দেওয়া পর্যন্ত সাইট নিরাপদ রাখার কৌশল আলোচনা করা।

২০১৬ সালে একটি সিকিউরিটি ব্লগে জনপ্রিয় ক্যাশিং প্লাগইন W3 Total Cache-এ Cross-Site Scripting (XSS) দুর্বলতা রিপোর্ট করা হয়েছিল। W3 Total Cache তখন ১ মিলিয়নেরও বেশি সক্রিয় ইনস্টলেশন সহ সবচেয়ে জনপ্রিয় ক্যাশিং প্লাগইন ছিল এবং Pearsonified, Mashable, AT&T-এর মতো বড় ওয়েবসাইটগুলো এটি ব্যবহার করত। এটি W3 Total Cache-এর প্রথম দুর্বলতা ছিল না—অতীতেও এর বেশ কিছু দুর্বলতা ছিল এবং কিছু এক্সপ্লอยটও हुआ ছিল।

রিপোর্টের সময় সাপোর্ট ফোরামে যেনারোগর্ভরা দেখানো হয়েছিল যে ব্যবহারকারীরা মাস maanden ধরে ডেভেলপারদের সাথে যোগাযোগ করতে চেষ্টা করছেন কিন্তু সাফল্য পাচ্ছেন না। একজন নিরাশ ব্যবহারকারী ফেসবুক গ্রুপে পোস্ট করেন যে প্লাগইনটি ৭ মাস ধরে আপডেট হয়নি। এই পরিস্থিতিতে W3 Total Cache ব্যবহারকারী ওয়েবসাইটগুলোর ওপর XSS দুর্বলতার সম্ভাব্য প্রভাব নিয়ে চিন্তা স্বাভাবিক।

দুর্বলতা প্রকাশের প্রায় এক সপ্তাহ পর W3 Total Cache আপডেট জারি করে এক্সপ্লয়েটযোগ্য লুপহোলগুলো প্যাচ করে। স 거기 নতুন ফিচারও যোগ করে। কিন্তু আপডেট প্রকাশের তৎক্ষণাৎ পর অনেক সাইট মালিক রিপোর্ট করেন যে আপডেট তাদের সাইট ভাঙিয়ে দিয়েছে। নতুন আপডেটের কারণে সাইট ভাঙা সাধারণ কথা, لهذا স্টেজিং এনভায়রনমেন্ট ব্যবহার করার পরামর্শ দেওয়া হয়। এটি আপনাকে লাইভ সাইট পরিবর্তন করার আগে স্টেজিং সাইটে আপডেট টেস্ট করার সুযোগ দেয়। যদি স্টেজিং সাইট ভাঙে, তবে লাইভ সাইট ক্ষতিগ্রস্ত না করে ডেভেলপারের সাথে সমস্যা শেয়ার করা যায়। এবং যদিও W3 Total Cache-এর ডেভেলপাররা প্যাচ দিতে কিছুটা সময় নিলেন, কিন্তু পরিস্থিতি.Full catastrophে পরিণত হয়নি।

প্লাগইন ডেভেলপার আপডেট না দিলে কী করবেন?

ওয়ার্ডপ্রেস বিশ্বের সবচেয়ে জনপ্রিয় ওয়েবসাইট নির্মাণ প্ল্যাটফর্ম, এবং এর জনপ্রিয়তার সবচেয়ে বড় কারণ হচ্ছে প্লাগইন—যা ব্যবহারকারীদের সহজে সাইট ডিজাইন ও ফাংশনালিটি যোগ করতে দেয়। অনেক ওয়ার্ডপ্রেস প্লাগইন ডেভেলপাররা সাইড প্রজেক্ট হিসেবে তৈরি করেন। কোনো দুর্বলতা উঠলে সেটি শনাক্ত করা এবং প্যাচ তৈরি করা—দুটি কাজেই অনেক সময় ও শ্রম লাগে। কখনো কখনো তারা নিয়মিত চাকরির কারণে প্লাগইন দুর্বলতাকে সময়মতো সমাধান করতে পারেন না। সাইড প্রজেক্ট তাদের প্রায়োরিটি নয়। এজন্য প্যাচ প্রকাশে দেরি হয়।

ওয়ার্ডপ্রেস একটি গ্লোবাল ইন্টারনেট কমিউনিটি এবং কোর বা অ্যাড-অনে কোনো দুর্বলতা খুঁজে পাওয়ার খবর খুব দ্রুত ছড়িয়ে পড়ে। অর্থাৎ হ্যাকাররা যারা সবসময় দুর্বল সাইট খুঁজে থাকে, তারা ঘন্টার মধ্যেই বিশাল পরিমাণে হ্যাক চেষ্টা চালায়। তাই প্লাগইন দুর্বলতা খুঁজে পাওয়া হলেও ডেভেলপার আপডেট না দিলে, সাইটকে নিরাপদ রাখতে কিছু কदम তত্ক्षণাৎ নেওয়া জরুরি। নিচে কী করবেন তা বলা হলো:

• প্লাগইনটি নিষ্ক্রিয় করুন যতক্ষণ না ডেভেলপার আপডেট দিয়ে দুর্বলতা সমাধান করে।
• যদি এটি প্রিমিয়াম প্লাগইন না হয়, তবে wordpress.org-এর সাপোর্ট ফোরামে شکায়ত করুন। পর্যাপ্ত شكায়ত থাকলে ডেভেলপাররা দ্রুত প্যাচ দিতে বাধ্য হয়।
• সাধারণত দুর্বলতা প্রকাশের ৪৮ ঘণ্টার ভিতরে আপডেট আসে। কিন্তু বেশি সময় লাগলে ডেভেলপারদের সাথে যোগাযোগ করুন এবং তাদের সমস্যা জানান। আপনার উৎস বলুন (কোথা থেকে দুর্বলতা সম্পর্কে জানলেন)। প্লাগইনের অফিসিয়াল ওয়েবসাইটে 'Contact Us' পেজ বা ইমেইল থাকবে—সেখানে মেইল করুন।
• এই 동안, বিকল্প প্লাগইন ব্যবহার করুন যাতে সাইট সম্পূর্ণ কার্যকর থাকে। প্লাগইন বন্ধ হলে কী করবেন সেটার একটি প্লান রাখা সবসময় বুদ্ধিমানের কাজ।

উপরোক্তיםearen, ওয়ার্ডপ্রেস রিপোজিটরিতে অনেক প্লাগইন শখ বা সাইড প্রজেক্ট হিসেবে তৈরি হয়। এটি মানে একটি ফ্রি প্রোডাক্ট তৈরকারী ডেভেলপার যেকোনো মুহূর্তে প্রোডাক্টটি ত্যাগ করতে পারেন। এই কারণে অনেক সিকিউরিটি এক্সপার্ট শুধু সুপরিচিত ও সম্মানিত ডেভেলপারদের তৈরি করা প্রিমিয়াম প্লাগইন ব্যবহার করার পরামর্শ দেন। যারা প্লাগইন/থিমের জন্য অর্থ পান না, তারা রক্ষণাবেক্ষণে কম সময় দেন। তাদের ফুল-টাইম চাকরি থাকতে পারে যা তাদের ব্যস্ত রাখে এবং অর্থ না দেয়া প্রোডাক্টে সময় বিনিবেশ করা অনুপযুক্ত লাগে।

প্লাগইনSpecialist হোক বা নবীন, দুর্বলতা তৈরি হবে। আপনি যদি ত্যাগ করা থিম/প্লাগইন ব্যবহার করেন, তাহলে রক্ষণাবেক্ষণ হবে না, আপডেটও আসবে না। সমস্যা হলে ডেভেলপারকে কন্ট্যাক্ট করতে চাইলে পারবেন না কারণ তারা প্রজেক্টটি ছেড়ে দিয়েছে। সেটি আপনাকে কঠিন পরিস্থিতিতে ফেলে—বিকল্প প্লাগইনে সুইচ করা সময় ও শ্রম সাপেক্ষ হলেও সেটিই একমাত্র সমাধান। ভালো ওয়েবসাইট সিকিউরিটি প্র্যাক্টিস হলো প্লাগইন চয়ন করার সময় কিছু প্রোটোকল মেনে চলা। নিচে সেগুলো দেওয়া হলো:

• প্রতিষ্ঠিত ডেভেলপার দ্বারা তৈরি প্লাগইন বেছে নিন যাতে ত্যাগ করা প্লাগইন ব্যবহার করতে না হয়।
• নিশ্চিত করুন প্লাগইনটি নিয়মিত আপডেট হচ্ছে। ওয়ার্ডপ্রেস রিপোজিটরিতে গিয়ে শেষ আপডেট কখন হয়েছে দেখুন।

• ফ্রি প্লাগইনের বদলে প্রিমিয়াম প্লাগইন ব্যবহার করুন। ফ্রি ভার্সন থাকলে বেসিক ফাংশনালিটি টেস্ট করুন, কিন্তু প্রিমিয়াম ভার্সনে আপগ্রেড করুন। ফ্রি প্লাগইন ত্যাগ করা হয়ে যেতে পারে বা গুরুত্বপূর্ণ আপডেট অনেক দেরিতে আসতে পারে।

আশা করি এই পোস্ট আপনাকে ডেভেলপার আপডেট না দিলে কী করবেন সেটা বুঝতে সাহায্য করবে। পড়ার জন্য ধন্যবাদ, কোনো প্রশ্ন থাকলে আমাদের সাথে যোগাযোগ করুন।