- ২০২৬ সালে PHP-তে কি আরেকটি গুরুতর নিরাপত্তা ত্রুটি দেখা দেবে?26¢২৬%
The recent coordinated disclosure and patching of two critical PHP vulnerabilities (CVE-2026-109618 and CVE-2026-109619) on October 21 has strongly shaped trader sentiment. These CVSS 9.2 flaws enable unauthenticated remote code execution across nearly all PHP versions serving web requests, including via out-of-memory handling and stale state issues in the core runtime. Patches for supported branches (8.2.35, 8.3.36, 8.4.27, and 8.5.12) were released immediately, with demonstrated exploits and expected mass attacks prompting urgent updates from the PHP Foundation and major cloud providers. This swift remediation, combined with the absence of further confirmed critical issues in supported releases, underpins the 73.5% market-implied probability against another such flaw emerging before year-end, reflecting trader focus on these as the primary 2026 event.
নিয়ম
বাজার তৈরির সময় থেকে 31 ডিসেম্বর, 2026, 11:59 PM ET পর্যন্ত সময়ের মধ্যে PHP-তে কোনো গুরুতর দুর্বলতা প্রথমবারের মতো জনসমক্ষে প্রকাশ করা হলে এবং ওই সময়সীমার মধ্যে নিচের সব শর্ত পূরণ করলে, এই বাজারের নিষ্পত্তি হবে "হ্যাঁ" হিসেবে। অন্যথায়, এই বাজারের ফল হবে "না"。 জনসমক্ষে প্রকাশ বলতে এমন তথ্য জনসাধারণের জন্য উপলভ্য হওয়াকে বোঝায়, যা নির্দিষ্ট দুর্বলতাটি শনাক্ত করার জন্য যথেষ্ট—তা আনুষ্ঠানিক পরামর্শ, গবেষকের প্রকাশনা, ফাঁস হওয়া তথ্য, বা প্রকাশ্য কোড কমিটের মাধ্যমে হতে পারে। নির্দিষ্ট করে উল্লেখ না করা কোনো দুর্বলতা সম্পর্কে সাধারণ সতর্কবার্তা একাই শর্ত পূরণের জন্য যথেষ্ট নয়। বাজার তৈরির আগে জনসমক্ষে প্রকাশিত কোনো দুর্বলতা শুধু বাজার চলাকালে CVE শনাক্তকারী বা শর্ত পূরণকারী স্কোর পাওয়ার কারণে শর্ত পূরণ করবে না। শর্ত পূরণকারী দুর্বলতাটি অবশ্যই PHP-কেই প্রভাবিত করবে (PHP ইন্টারপ্রেটার এবং php-src-এর আনুষ্ঠানিক সোর্স কোডে অন্তর্ভুক্ত এক্সটেনশনগুলো), এর একটি জনসাধারণের জন্য উপলভ্য CVE শনাক্তকারী থাকতে হবে, এবং PHP প্রকল্প বা যুক্তরাষ্ট্রের National Vulnerability Database (NVD) থেকে যেকোনো CVSS সংস্করণ অনুযায়ী 9.0 বা তার বেশি CVSS বেস স্কোর প্রকাশ্যে পেতে হবে। শুধু অসমর্থিত PHP সংস্করণ বা ঐচ্ছিকভাবে অন্তর্ভুক্ত এক্সটেনশনগুলোকে প্রভাবিত করা দুর্বলতাও অন্য শর্তগুলো পূরণ করলে যোগ্য হবে। php-src থেকে আলাদাভাবে বিতরণ করা এক্সটেনশন (যেমন PECL-এর মাধ্যমে) যোগ্য হবে না। যেকোনো একটি উৎসের শর্ত পূরণকারী স্কোরই যথেষ্ট; অন্য উৎস বা অন্য CVSS সংস্করণে কম স্কোর থাকলেও তা প্রভাব ফেলবে না। শুধু NVD নিজে (NIST-এর নামে) বা PHP প্রকল্প প্রকাশিত স্কোরই গণ্য হবে; NVD-তে দেখানো হলেও অন্য কোনো সংস্থার নামে প্রকাশিত স্কোর যোগ্য হবে না। বাজার চলাকালে সব শর্ত একবার পূরণ হয়ে গেলে, পরবর্তী স্কোর সংশোধন নিষ্পত্তিতে প্রভাব ফেলবে না। CVE-2026-109618 এবং CVE-2026-109619 ("PHP2Shell") যোগ্য হবে না। PHP-তে লেখা বা PHP-তে চলা তৃতীয় পক্ষের সফটওয়্যারের (যেমন WordPress, Laravel, Drupal, প্লাগইন বা অন্যান্য ফ্রেমওয়ার্ক ও লাইব্রেরি) দুর্বলতা যোগ্য বলে গণ্য হবে না। এই বাজারের নিষ্পত্তির প্রধান উৎস হবে PHP প্রকল্পের আনুষ্ঠানিক তথ্য (php.net এবং php-src-এর GitHub নিরাপত্তা পরামর্শসহ) ও NVD (https://nvd.nist.gov); তবে বিশ্বাসযোগ্য সংবাদ প্রতিবেদনের ঐকমত্যও ব্যবহার করা যেতে পারে।
মেশিন অনুবাদ। বিরোধের ক্ষেত্রে মূল পাঠ প্রযোজ্য।