পিএইচপির ভয়াবহ নিরাপত্তা ত্রুটি, ঝুঁকিতে ইন্টারনেটের বড় অংশ

স্টাফ রিপোর্ট: PNN

ইন্টারনেটজুড়ে বড় ধরনের সাইবার নিরাপত্তা ঝুঁকি তৈরি করেছে বহুল ব্যবহৃত ওয়েব প্রযুক্তি পিএইচপির (PHP) দুটি গুরুতর দুর্বলতা। ‘পিএইচপি২শেল’ (PHP2Shell) নামে পরিচিত এই ত্রুটিগুলো কাজে লাগিয়ে সাইবার অপরাধীরা পাসওয়ার্ড ছাড়াই ইন্টারনেট-সংযুক্ত কিছু সার্ভারে প্রবেশ করে তথ্য চুরি কিংবা ক্ষতিকর সফটওয়্যার স্থাপন করতে পারে। ঝুঁকি মোকাবিলায় বিশ্বজুড়ে বিভিন্ন প্রতিষ্ঠান তাদের ওয়েবসাইট ও অনলাইন সেবা সাময়িকভাবে বন্ধ রেখে নিরাপত্তা হালনাগাদ করেছে।

প্রযুক্তিবিষয়ক সংবাদমাধ্যম টেকক্রাঞ্চের প্রতিবেদনে বলা হয়েছে, ত্রুটি দুটি আনুষ্ঠানিকভাবে CVE-2026-109618 ও CVE-2026-109619 নম্বরে শনাক্ত করা হয়েছে। পিএইচপি প্রযুক্তি রক্ষণাবেক্ষণকারী পিএইচপি ফাউন্ডেশন গত বুধবার এসব দুর্বলতা সংশোধনের জন্য নিরাপত্তা প্যাচ প্রকাশ করে। তবে সংশোধনী প্রকাশের পরও বিশ্বের বিভিন্ন স্থানে অনেক সার্ভার হালনাগাদ না হওয়ায় সেগুলো এখনো হামলার ঝুঁকিতে রয়েছে বলে সতর্ক করেছেন নিরাপত্তা গবেষকেরা।

পিএইচপি ওয়েবসাইট ও ওয়েবভিত্তিক অ্যাপ্লিকেশন তৈরিতে বহুল ব্যবহৃত একটি উন্মুক্ত প্রোগ্রামিং ভাষা। দীর্ঘদিন ধরে ব্যবহৃত এই প্রযুক্তির ওপর নির্ভরশীল অসংখ্য ওয়েবসাইট ও অনলাইন সেবা। ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা ও মিডিয়াউইকির মতো জনপ্রিয় প্ল্যাটফর্মেও পিএইচপি ব্যবহৃত হয়। ফলে এর নিরাপত্তা দুর্বলতা শুধু একটি সফটওয়্যারে সীমাবদ্ধ না থেকে বিপুলসংখ্যক ওয়েবসাইট ও প্রতিষ্ঠানের জন্য ঝুঁকি তৈরি করতে পারে।

নিরাপত্তা গবেষকদের ভাষ্য অনুযায়ী, ত্রুটি দুটি কাজে লাগিয়ে দূর থেকে কোনো সিস্টেমে ক্ষতিকর কোড চালানো সম্ভব হতে পারে। এ ধরনের আক্রমণকে বলা হয় ‘রিমোট কোড এক্সিকিউশন’। আক্রান্ত সার্ভারে যথাযথ নিরাপত্তা সংশোধনী না থাকলে আক্রমণকারী সেখানে প্রবেশ করে তথ্য হাতিয়ে নেওয়া, ম্যালওয়্যার স্থাপন কিংবা পরবর্তী সময়ে আবার হামলা চালানোর সুযোগ তৈরি করতে পারে।

প্রতিবেদনে বলা হয়েছে, গবেষকেরা ২০২৪ সালে দুর্বলতা দুটি শনাক্ত করলেও তখন সেগুলোকে কার্যকরভাবে কাজে লাগানোর উপায় জানা ছিল না। সম্প্রতি গবেষকেরা সেগুলো ব্যবহার করে হামলা চালানোর কৌশল বের করতে সক্ষম হন। এরপর পিএইচপি ফাউন্ডেশনকে বিষয়টি জানানো হলে ত্রুটি সংশোধন এবং সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে আগাম প্রস্তুতির সুযোগ দিতে সমন্বিত উদ্যোগ নেওয়া হয়।

নিরাপত্তা প্যাচ প্রকাশের আগে বড় প্রযুক্তি প্রতিষ্ঠান ও ওয়েব হোস্টিং সেবাদাতাদের কাছে সংশ্লিষ্ট তথ্য গোপনীয়ভাবে পৌঁছে দেওয়া হয়েছিল, যাতে তারা আগেভাগেই নিজেদের ব্যবস্থা সুরক্ষিত করতে পারে। তবে এ উদ্যোগের মধ্যেও কিছু সিস্টেমে দুর্বলতাগুলো ব্যবহার করে হামলা চালানোর ঘটনা ঘটেছে বলে প্রতিবেদনে উল্লেখ করা হয়েছে।

অ্যামাজন জানিয়েছে, পিএইচপির নিরাপত্তা প্যাচ প্রকাশের প্রায় এক সপ্তাহ আগেই তারা এই দুর্বলতা কাজে লাগিয়ে হামলার চেষ্টা শনাক্ত করেছিল। তাদের পর্যবেক্ষণ অনুযায়ী, ১৭ অক্টোবর থেকে সংশ্লিষ্ট সিস্টেমগুলোতে হামলার আলামত খতিয়ে দেখা প্রয়োজন। তবে হামলাকারীরা কীভাবে দুর্বলতার তথ্য পেয়েছিল, সে বিষয়ে নিশ্চিত কোনো ব্যাখ্যা পাওয়া যায়নি।

নিরাপত্তা প্যাচ প্রকাশের আগেই তথ্য ফাঁস, সমন্বয় প্রক্রিয়ায় ঘাটতি কিংবা হামলাকারীদের স্বাধীনভাবে দুর্বলতা আবিষ্কারের মতো কয়েকটি সম্ভাবনার কথা প্রতিবেদনে তুলে ধরা হয়েছে। পিএইচপি ফাউন্ডেশনও জানিয়েছে, একটি প্রতিষ্ঠান নির্ধারিত গোপনীয়তার সময় শেষ হওয়ার কয়েক ঘণ্টা আগেই প্যাচ প্রকাশ করেছিল। তবে এর সঙ্গে অ্যামাজনের শনাক্ত করা আগাম হামলার সরাসরি সম্পর্ক রয়েছে কি না, তা নিশ্চিত নয়।

প্রতিবেদন অনুযায়ী, প্যালো অল্টো নেটওয়ার্কস ও ট্রেইল অব বিটসের মতো সাইবার নিরাপত্তা প্রতিষ্ঠানগুলো শুক্রবারের শেষ দিকে পিএইচপির ত্রুটি-সংশ্লিষ্ট অনুপ্রবেশ ও পরবর্তী ক্ষতিকর কার্যক্রমের প্রমাণ পাওয়ার কথা জানিয়েছে। যদিও হামলার পরিসর এবং কতটি সিস্টেম আক্রান্ত হয়েছে, তা তখনো স্পষ্ট ছিল না।

পিএইচপির ব্যাপক ব্যবহারই এই দুর্বলতাকে বিশেষভাবে উদ্বেগজনক করে তুলেছে। প্রতিবেদনে বলা হয়েছে, ওয়েবের প্রায় ৭০ শতাংশের সঙ্গে কোনো না কোনোভাবে পিএইচপির সংশ্লিষ্টতা রয়েছে। এই পরিসংখ্যানের অর্থ এই নয় যে ইন্টারনেটের ৭০ শতাংশ ওয়েবসাইটই নিশ্চিতভাবে আক্রান্ত হয়েছে; বরং প্রযুক্তিটির বিস্তৃত ব্যবহার সম্ভাব্য ঝুঁকির পরিধি বড় করেছে।

পিএইচপি শুধু ওয়েবসার্ভারেই সীমাবদ্ধ নয়। বিভিন্ন ডেভেলপার টুল, কমান্ড-লাইন প্যাকেজ, রাউটার, স্টোরেজ ডিভাইস এবং করপোরেট নিরাপত্তা সরঞ্জামেও এর ব্যবহার রয়েছে। ফলে ওয়েবসাইট হালনাগাদ করার পাশাপাশি পিএইচপি-নির্ভর অন্যান্য সফটওয়্যার ও যন্ত্রাংশের নিরাপত্তা নিশ্চিত করাও জরুরি।

পিএইচপি ফাউন্ডেশনের সংশোধনী প্রকাশের পরও সব প্রতিষ্ঠান দ্রুত ব্যবস্থা নিতে পারবে—এমন নিশ্চয়তা নেই। বিশেষ করে সীমিত জনবল নিয়ে পরিচালিত ছোট প্রতিষ্ঠান, স্বতন্ত্র ডেভেলপার এবং পুরোনো সফটওয়্যার ব্যবহারকারী সংস্থাগুলোর হালনাগাদে দেরি হতে পারে। কিছু পুরোনো সিস্টেমে নতুন নিরাপত্তা প্যাচ প্রয়োগ করাও কঠিন হতে পারে।

এই ঘটনা কৃত্রিম বুদ্ধিমত্তার মাধ্যমে সফটওয়্যারের নিরাপত্তা দুর্বলতা শনাক্ত করার সম্ভাবনা ও সীমাবদ্ধতা নিয়েও নতুন আলোচনা তৈরি করেছে। প্রতিবেদনে বলা হয়েছে, ক্যালিফ নামের একটি প্রতিষ্ঠানের গবেষকেরা পিএইচপির কোড পর্যালোচনার সময় দুর্বলতা দুটি শনাক্ত করেন। তারা ওপেনএআই ও ক্লাউড নিরাপত্তা প্রতিষ্ঠান উইজের ‘হ্যাক দ্য প্ল্যানেট’ উদ্যোগে অংশ নিচ্ছিলেন। পরে উইজ ও ওপেনএআই সংশ্লিষ্ট আক্রমণ কৌশলের কার্যকারিতা যাচাইয়ে সহায়তা করে।

গবেষকদের কাজে এআই সহায়তা করলেও পুরো প্রক্রিয়াটি শুধু এআইয়ের ওপর নির্ভরশীল ছিল না। পিএইচপির কোড কাঠামো, আগের নিরাপত্তা ত্রুটি এবং সেগুলো কাজে লাগানোর পদ্ধতি সম্পর্কে গবেষকদের পূর্বজ্ঞানও গুরুত্বপূর্ণ ভূমিকা রেখেছে।

এ ঘটনা দেখিয়েছে, এআই নিরাপত্তা গবেষণাকে দ্রুততর করতে পারে; একই সঙ্গে সফটওয়্যারের অজানা দুর্বলতা খুঁজে বের করার সুযোগ বাড়লে সেগুলো অপব্যবহারের ঝুঁকিও তৈরি হতে পারে। তবে সাধারণ নির্দেশনা দিলেই এআই সব নিরাপত্তা ত্রুটি শনাক্ত করতে পারে এমন ধারণার পক্ষে গবেষকেরা সমর্থন দেননি।

দুর্বলতা প্রকাশের পর বিশ্বজুড়ে বিপুলসংখ্যক হামলার চেষ্টা শনাক্ত হওয়ার কথা জানিয়েছেন ক্লাউডফ্লেয়ারের প্রধান নির্বাহী ম্যাথিউ প্রিন্স। প্রতিষ্ঠানটির নেটওয়ার্ক পর্যবেক্ষণে ত্রুটি প্রকাশের পর হামলার প্রচেষ্টা দ্রুত বেড়েছে বলে তিনি উল্লেখ করেন।

এখন পর্যন্ত ব্যাপক মাত্রার বৈশ্বিক বিপর্যয়ের প্রমাণ পাওয়া না গেলেও নিরাপত্তা ঝুঁকি শেষ হয়ে যায়নি। যেসব সার্ভার ও সফটওয়্যার এখনো হালনাগাদ করা হয়নি, সেগুলো পরবর্তী সময়ে হামলার লক্ষ্য হতে পারে। আক্রান্ত সিস্টেমে অনুপ্রবেশের প্রমাণ আছে কি না, তা পরীক্ষা করা এবং প্রয়োজনীয় সংশোধনী দ্রুত প্রয়োগ করাকে তাই গুরুত্বপূর্ণ বলে মনে করছেন নিরাপত্তা বিশেষজ্ঞরা।

পুরোনো সফটওয়্যার ও অবকাঠামোর ওপর ইন্টারনেটের ব্যাপক নির্ভরতা ভবিষ্যতেও এ ধরনের সংকট তৈরি করতে পারে। কয়েক দশক ধরে ব্যবহৃত প্রযুক্তির দুর্বলতা নতুন করে আবিষ্কৃত হলে তার প্রভাব একক প্রতিষ্ঠান ছাড়িয়ে বৈশ্বিক অনলাইন সেবায় ছড়িয়ে পড়তে পারে। পিএইচপির এই ঘটনা তাই শুধু একটি নিরাপত্তা ত্রুটির বিষয় নয়; বরং ইন্টারনেটের গুরুত্বপূর্ণ অবকাঠামো নিয়মিত হালনাগাদ ও সুরক্ষিত রাখার প্রয়োজনীয়তাও সামনে এনেছে।