পিএইচপি-নির্ভর প্রতিটি ওয়েবসাইট আক্রান্ত হয়েছে, এমন সিদ্ধান্তে পৌঁছানো ঠিক হবে না। দুর্বল ও পুরনো সংস্করণ ব্যবহার, সার্ভারের বিন্যাস এবং অন্যান্য প্রযুক্তিগত শর্তের ওপর প্রকৃত ঝুঁকি নির্ভর করে।
বর্তমান বিশ্বে তথ্য কেবল জ্ঞান অর্জনের মাধ্যম নয়, বরং অর্থনীতি, ব্যবসা-বাণিজ্য, ব্যাংকিং, কূটনীতি, জাতীয় নিরাপত্তা এবং প্রযুক্তিগত আধিপত্যের অন্যতম প্রধান হাতিয়ার। ব্যক্তির পরিচয় ও আর্থিক লেনদেন থেকে শুরু করে রাষ্ট্রের গুরুত্বপূর্ণ নথি, প্রতিষ্ঠানের ব্যবসায়িক কৌশল এবং কোটি কোটি মানুষের ব্যক্তিগত তথ্য এখন ডিজিটাল ব্যবস্থায় সংরক্ষিত। ফলে এসব তথ্যের নিরাপত্তা নিশ্চিত করা ব্যক্তি, প্রতিষ্ঠান ও রাষ্ট্র সবার জন্যই অপরিহার্য হয়ে উঠেছে। কিন্তু প্রযুক্তির উন্নয়নের সঙ্গে পাল্লা দিয়ে বাড়ছে সাইবার অপরাধীদের দক্ষতা, আক্রমণের কৌশল এবং তথ্য চুরির ঝুঁকি। বিশেষ করে আর্থিক খাতে সাইবার হামলা হলে তার প্রভাব একটি প্রতিষ্ঠানের ক্ষতির মধ্যে সীমাবদ্ধ থাকে না, গ্রাহকের অর্থ, লেনদেনের নির্ভরযোগ্যতা এবং সামগ্রিক অর্থনৈতিক ব্যবস্থার ওপরও আস্থার সংকট তৈরি হতে পারে। এ কারণেই বিশ্বের বিভিন্ন প্রতিষ্ঠান তথ্য সুরক্ষায় উন্নত এনক্রিপশন, বহুমাত্রিক পরিচয় যাচাই, নিরাপদ সার্ভার, নিয়মিত সফটওয়্যার হালনাগাদ এবং দুর্বলতা শনাক্তকরণের প্রযুক্তি ব্যবহার করছে। তার পরও কোনো ব্যবস্থাকেই শতভাগ নিরাপদ বলে ধরে নেয়ার সুযোগ নেই। কারণ একটি সফটওয়্যারের সামান্য ত্রুটি, ভুল কনফিগারেশন কিংবা তৃতীয় পক্ষের কোনো সেবার দুর্বলতাও পুরো ডিজিটাল ব্যবস্থাকে ঝুঁকির মুখে ফেলতে পারে। সাম্প্রতিক সময়ে পুরনো পিএইচপি সংস্করণে ত্রুটি এবং ‘পিএইচপি-টু-শেল’ নামে আলোচিত দুর্বলতা নিয়ে যে উদ্বেগের কথা বলা হচ্ছে, তা এ বৃহত্তর বাস্তবতাকেই সামনে নিয়ে আসে।
পিএইচপি বিশ্বের বহুল ব্যবহৃত সার্ভার-সাইড প্রোগ্রামিং ভাষাগুলোর একটি। ওয়ার্ডপ্রেস, উইকিপিডিয়ার মিডিয়াউইকি, জুমলা এবং ড্রুপালের মতো বহুল ব্যবহৃত ওয়েব প্লাটফর্মের সঙ্গে এ প্রযুক্তি যুক্ত। বিভিন্ন প্রযুক্তিপ্রতিষ্ঠানের তথ্য অনুযায়ী, বিশ্বের প্রায় ৭০ শতাংশ ওয়েবসাইটের প্রযুক্তিগত অবকাঠামোর কোনো না কোনো পর্যায়ে পিএইচপি ব্যবহৃত হয়। ফলে এ ভাষার মূল কাঠামোতে গুরুতর দুর্বলতা ধরা পড়লে তার প্রভাব ব্যাপক হতে পারে। গত ২১ অক্টোবর প্রকাশিত নিরাপত্তা সতর্কতায় ‘পিএইচপি-টু-শেল’ নামে পরিচিত দুটি গুরুতর দুর্বলতার কথা জানানো হয়, যেগুলোর শনাক্তকরণে কৃত্রিম বুদ্ধিমত্তার সহায়তা গুরুত্বপূর্ণ ভূমিকা রেখেছে। সংশ্লিষ্ট দুর্বলতা দুটি হলো সিভিই-২০২৬-১০৯৬১৮ এবং সিভিই-২০২৬-১০৯৬১৯। নিরাপত্তা বিশ্লেষকদের তথ্য অনুযায়ী, এগুলো কাজে লাগাতে সক্ষম হলে আক্রমণকারী নির্দিষ্ট শর্তে অনুমতি ছাড়াই দূরবর্তী সার্ভারে ক্ষতিকর কোড চালানোর সুযোগ পেতে পারে। বিশেষ উদ্বেগের বিষয় হলো দুর্বলতার মূল কারণ দীর্ঘদিন ধরে বিদ্যমান থাকলেও তা আগে শনাক্ত করা যায়নি। বিভিন্ন প্রতিবেদনে এক দশকেরও বেশি সময় ধরে ত্রুটিগুলো অজানা থাকার কথা উঠে এসেছে। এআইয়ের সহায়তায় কোড বিশ্লেষণ করে এমন দুর্বলতা শনাক্ত করার ঘটনা প্রযুক্তির সম্ভাবনা ও ঝুঁকি, দুই দিকই তুলে ধরেছে। উল্লেখ্য, বিংশ শতাব্দীর শেষের দিকে বিশ্বের প্রযুক্তিবিদদের মাঝে মিলেনিয়াম বাগ (ওয়াইটুকে) এক বিশাল আতঙ্কের সৃষ্টি করেছিল। যদিও সেটি কোনো সাইবার হামলা বা হ্যাকিং ছিল না। এটি ছিল কম্পিউটার সফটওয়্যারের একটি কোডিং ত্রুটি বা টেকনিক্যাল সমস্যা। তাই বিপর্যয় ঠেকাতে বিশ্বজুড়ে সরকার ও আইটি কোম্পানিগুলো কয়েক বিলিয়ন ডলার খরচ করে রাতারাতি তাদের সফটওয়্যার আপডেট করেছিল। বর্তমান সংকটেও পিএইচপি কর্তৃপক্ষ আপডেট ভার্সন দ্রুততম সময়ের মধ্যে ইনস্টল করতে বলেছে।
পিএইচপি-নির্ভর প্রতিটি ওয়েবসাইট আক্রান্ত হয়েছে, এমন সিদ্ধান্তে পৌঁছানো ঠিক হবে না। দুর্বল ও পুরনো সংস্করণ ব্যবহার, সার্ভারের বিন্যাস এবং অন্যান্য প্রযুক্তিগত শর্তের ওপর প্রকৃত ঝুঁকি নির্ভর করে। একই সঙ্গে পুরনো কোডে লুকিয়ে থাকা ত্রুটি শনাক্ত করতে এআই যেমন সহায়তা করছে, তেমনি দুর্বলতার তথ্য প্রকাশের পর অপরাধীরাও দ্রুত আক্রমণের কৌশল তৈরি করতে পারে। অ্যামাজনের নিরাপত্তা বিশ্লেষকরা প্রকাশ্য ঘোষণার আগেই, ১৭ অক্টোবর, সম্ভাব্য আক্রমণ চেষ্টার তথ্য শনাক্ত করেছিলেন। ফলে এ ঘটনা শুধু একটি সফটওয়্যারের ত্রুটি নয়, বরং এআইয়ের যুগে সাইবার নিরাপত্তার প্রস্তুতি ও প্রতিক্রিয়ার সময়সীমা নিয়ে নতুন করে ভাবারও একটি গুরুত্বপূর্ণ উপলক্ষ। পিএইচপি নিয়ে সাম্প্রতিক উদ্বেগের আরেকটি গুরুত্বপূর্ণ দিক হলো, ডিজিটাল সেবার নিরাপত্তা কোনো একক সফটওয়্যারের ওপর নির্ভর করে না। একটি ব্যাংকের অনলাইন লেনদেন ব্যবস্থা, ই-কমার্স প্লাটফর্ম, সরকারি পোর্টাল কিংবা গেমিং সেবায় পিএইচপির পাশাপাশি হোস্টিং সার্ভার, ডেটাবেজ, পেমেন্ট গেটওয়ে, অ্যাপ্লিকেশন প্রোগ্রামিং ইন্টারফেস (এপিআই), তৃতীয় পক্ষের লাইব্রেরি এবং ব্যবহারকারীর পরিচয় যাচাই ব্যবস্থা কাজ করে। এসবের যেকোনো একটিতে দুর্বলতা থাকলে পুরো ব্যবস্থাই ঝুঁকির মুখে পড়তে পারে। আবার ‘জিরো ডে অ্যাটাক’ (সফটওয়্যারটির নির্মাতা ত্রুটিটি সংশোধন করার বা প্যাচ দেয়ার জন্য ‘শূন্য দিন’ সময় পায়, কারণ আক্রমণকারীরা ত্রুটিটি আবিষ্কার করার সঙ্গে সঙ্গেই তা কাজে লাগায় বা আক্রমণ চালায়) এমন একটি ত্রুটি, যার কার্যকর সমাধান বা প্রতিরোধ ব্যবস্থা তৈরি হওয়ার আগেই আক্রমণকারী সেটি কাজে লাগানোর চেষ্টা করতে পারে। শুধু সফটওয়্যার হালনাগাদ করলেই সব ঝুঁকি দূর হয় না, প্রয়োজন সমন্বিত নিরাপত্তা ব্যবস্থা। ‘পিএইচপি-টু-শেল’-এর ক্ষেত্রে পিএইচপি কর্তৃপক্ষ ২১ অক্টোবর সংশোধিত সংস্করণ প্রকাশ করে। সংশ্লিষ্ট নির্দেশনায় সমর্থিত সংস্করণগুলোর জন্য পিএইচপি ৮.২.৩৫, ৮.৩.৩৬, ৮.৪.২৭ ও ৮.৫.১২ প্রকাশের কথা জানানো হয়েছে। যেসব প্রতিষ্ঠান এখনো পুরনো সংস্করণ ব্যবহার করছে, তাদের দ্রুত ঝুঁকি মূল্যায়ন করে উপযুক্ত সংশোধনী প্রয়োগ করা জরুরি।
আপডেট দেয়ার আগে পরীক্ষামূলক পরিবেশে সফটওয়্যারের সামঞ্জস্য যাচাই, তথ্যের ব্যাকআপ এবং পরিবর্তনের পর কার্যকারিতা পরীক্ষা করাও গুরুত্বপূর্ণ। পাশাপাশি সার্ভারের লগ পর্যবেক্ষণ, অস্বাভাবিক কার্যক্রম শনাক্তকরণ, বহুমাত্রিক পরিচয় যাচাই, ন্যূনতম প্রয়োজনীয় প্রবেশাধিকার এবং গুরুত্বপূর্ণ তথ্যের এনক্রিপশন নিশ্চিত করতে হবে। কোনো প্রতিষ্ঠান যদি তাৎক্ষণিকভাবে দুর্বলতা সংশোধন করতে না পারে, তবে সংশ্লিষ্ট নিরাপত্তা নির্দেশনা অনুসারে আক্রান্ত সেবার সংযোগ সীমিত করা বা সাময়িকভাবে বন্ধ রাখার সিদ্ধান্ত নিতে হতে পারে। বিশেষত ব্যাংক, আর্থিক প্রতিষ্ঠান, সরকারি সেবা ও গুরুত্বপূর্ণ অবকাঠামোর ক্ষেত্রে দ্রুত ব্যবস্থা গ্রহণের পাশাপাশি সম্ভাব্য অনুপ্রবেশের চিহ্ন খুঁজে দেখা জরুরি। কারণ দুর্বলতা সংশোধন করা আর এরই মধ্যে ঘটে যাওয়া অনুপ্রবেশ শনাক্ত করা এক বিষয় নয়। তাই সাইবার নিরাপত্তা নিশ্চিত করতে প্রতিক্রিয়ার চেয়ে আগাম প্রস্তুতিকে বেশি গুরুত্ব দেয়া উচিত। এক্ষেত্রে পেনিট্রেশন টেস্ট বা অনুমোদিত অনুপ্রবেশ পরীক্ষা একটি কার্যকর পদ্ধতি। এতে বিশেষজ্ঞরা প্রতিষ্ঠানের লিখিত অনুমতি নিয়ে নিয়ন্ত্রিত পরিবেশে সম্ভাব্য আক্রমণকারীর দৃষ্টিকোণ থেকে সিস্টেম পরীক্ষা করেন এবং কোথায় নিরাপত্তার ঘাটতি রয়েছে, তা শনাক্ত করেন। পরীক্ষার ফলাফলের ভিত্তিতে দুর্বলতা সংশোধন, প্রবেশাধিকার নিয়ন্ত্রণ, সফটওয়্যার হালনাগাদ এবং নিরাপত্তা নীতিমালা উন্নত করা সম্ভব হয়। তবে পেনিট্রেশন টেস্ট একবার করেই দায়িত্ব শেষ করা যাবে না, নতুন সফটওয়্যার যুক্ত হলে, গুরুত্বপূর্ণ পরিবর্তন ঘটলে এবং নিয়মিত বিরতিতে পুনরায় পরীক্ষা করা দরকার।
বাংলাদেশের ব্যাংক, আর্থিক প্রতিষ্ঠান, সরকারি দপ্তর, শিক্ষাপ্রতিষ্ঠান এবং অনলাইন ব্যবসাপ্রতিষ্ঠানসহ প্রতিটি খাতে দক্ষ সাইবার নিরাপত্তা দল, নিয়মিত দুর্বলতা মূল্যায়ন, জরুরি প্রতিক্রিয়া পরিকল্পনা এবং তথ্য ফাঁস হলে দ্রুত সংশ্লিষ্ট ব্যক্তিদের অবহিত করার ব্যবস্থা থাকতে হবে। একই সঙ্গে সফটওয়্যার নির্মাতা, হোস্টিং সেবাদাতা, নিরাপত্তা গবেষক এবং সরকারি কর্তৃপক্ষের মধ্যে দায়িত্বশীল তথ্য বিনিময় নিশ্চিত করতে হবে। এআই এখন এমন কিছু দুর্বলতা শনাক্ত করতে পারছে, যা দীর্ঘদিন মানুষের নজর এড়িয়ে গেছে। কিন্তু প্রযুক্তির এ শক্তি কেবল নিরাপত্তা রক্ষায় ব্যবহৃত হবে—এমন নিশ্চয়তা নেই। তাই এআই-নির্ভর নিরাপত্তা পর্যবেক্ষণ, দক্ষ মানববিশেষজ্ঞ এবং দ্রুত সংশোধন ব্যবস্থার সমন্বয় জরুরি। সর্বোপরি, তথ্যের নিরাপত্তা কেবল প্রযুক্তিবিদদের কাজ নয়, এটি অর্থনৈতিক স্থিতিশীলতা, নাগরিকের গোপনীয়তা এবং রাষ্ট্রের ডিজিটাল সার্বভৌমত্বের সঙ্গে সম্পর্কিত। তাই দুর্বলতা আবিষ্কারের অপেক্ষায় না থেকে আগাম ঝুঁকি শনাক্ত করা, দ্রুত সংশোধন করা এবং নিয়মিত নিরাপত্তা পরীক্ষা চালিয়ে যাওয়াই হতে পারে ভবিষ্যতের সাইবার হামলা মোকাবেলার সবচেয়ে কার্যকর পথ।
ড. এম মেসবাহউদ্দিন সরকার: অধ্যাপক
আইআইটি, জাহাঙ্গীরনগর বিশ্ববিদ্যালয়