ওয়েবসাইট তৈরিতে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হওয়ায় বিশ্বজুড়ে সাইবার নিরাপত্তা নিয়ে উদ্বেগ দেখা দিয়েছে। এসব দুর্বলতা কাজে লাগিয়ে হ্যাকাররা দূর থেকেই কোনো ওয়েবসাইট বা সার্ভারে প্রবেশ করতে পারেন। এর মাধ্যমে গুরুত্বপূর্ণ তথ্য চুরি, ক্ষতিকর সফটওয়্যার ইনস্টল কিংবা ভবিষ্যতে আবারও অনুপ্রবেশের পথ তৈরি করা সম্ভব।
ইন্টারনেটের প্রায় ৭০ শতাংশ ওয়েবসাইট কোনো না কোনোভাবে পিএইচপির ওপর নির্ভরশীল হওয়ায় এই ত্রুটির প্রভাব ব্যাপক হওয়ার আশঙ্কা রয়েছে।
প্রযুক্তিবিষয়ক সংবাদমাধ্যম টেকক্রাঞ্চের প্রতিবেদনে বলা হয়েছে, গত বুধবার ‘পিএইচপি২শেল’ নামে পরিচিত দুটি নিরাপত্তা ত্রুটির তথ্য প্রকাশ্যে আসে। এগুলোকে যথাক্রমে CVE-2026-109618 এবং CVE-2026-109619 শনাক্তকরণ নম্বর দেওয়া হয়েছে। ত্রুটি দুটি সমাধানে পিএইচপি ফাউন্ডেশন নিরাপত্তা আপডেট প্রকাশ করেছে। তবে সব সার্ভারে এখনো হালনাগাদ পৌঁছায়নি। ফলে পুরোনো সংস্করণ ব্যবহারকারী অনেক ওয়েবসাইট এখনো ঝুঁকির মধ্যে থাকতে পারে।
কীভাবে কাজ করে এই নিরাপত্তা ত্রুটি?
পিএইচপি একটি উন্মুক্ত সোর্সের প্রোগ্রামিং ভাষা, যা ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশন তৈরিতে ব্যাপকভাবে ব্যবহৃত হয়। ওয়ার্ডপ্রেস, ড্রুপাল ও জুমলার মতো জনপ্রিয় কনটেন্ট ম্যানেজমেন্ট প্ল্যাটফর্মেও এই ভাষার ব্যবহার রয়েছে।
প্রতিবেদন অনুযায়ী, ২০২৪ সালেই ত্রুটি দুটি শনাক্ত হয়েছিল। তবে সে সময় এগুলো কাজে লাগিয়ে কার্যকর সাইবার হামলা চালানোর পদ্ধতি জানা ছিল না। সম্প্রতি নিরাপত্তা গবেষকেরা ত্রুটিগুলো ব্যবহার করে আক্রমণের কৌশল বের করেন। বিষয়টি পিএইচপি ফাউন্ডেশনকে জানানোর পর নিরাপত্তা দুর্বলতা দূর করার উদ্যোগ নেওয়া হয়।
এই ত্রুটির সবচেয়ে উদ্বেগজনক দিক হলো, হামলা চালানোর জন্য ব্যবহারকারীকে কোনো সন্দেহজনক লিংকে ক্লিক করতে বা ফাইল খুলতে হয় না। আক্রান্ত সার্ভারে নিরাপত্তা হালনাগাদ না থাকলে দূর থেকেই বিশেষ নির্দেশনা চালানো সম্ভব হতে পারে। সাইবার নিরাপত্তার পরিভাষায় এ ধরনের আক্রমণকে বলা হয় ‘রিমোট কোড এক্সিকিউশন’।
এ পদ্ধতিতে আক্রমণকারীরা সার্ভারে ক্ষতিকর প্রোগ্রাম চালাতে, গোপন তথ্য হাতিয়ে নিতে কিংবা পরবর্তী সময়ে পুনরায় প্রবেশের ব্যবস্থা তৈরি করতে পারেন।
কৃত্রিম বুদ্ধিমত্তার সহায়তায় ত্রুটি শনাক্ত
পিএইচপির কোড বিশ্লেষণ করতে গিয়ে ক্যালিফ নামের একটি প্রতিষ্ঠানের নিরাপত্তা গবেষকেরা ত্রুটি দুটি খুঁজে পান। তারা ওপেনএআই ও ক্লাউড নিরাপত্তা প্রতিষ্ঠান উইজের ‘হ্যাক দ্য প্ল্যানেট’ উদ্যোগের আওতায় কাজ করছিলেন। পরে ত্রুটিগুলো কাজে লাগানোর পরীক্ষামূলক পদ্ধতি যাচাই করে ওপেনএআই।
গবেষকদের ভাষ্য অনুযায়ী, নিরাপত্তা দুর্বলতা কাজে লাগানোর প্রক্রিয়ায় কৃত্রিম বুদ্ধিমত্তার সহায়তা নেওয়া হয়েছিল। তবে পুরো কাজটি শুধু এআইয়ের ওপর নির্ভরশীল ছিল না। গবেষকদের প্রযুক্তিগত দক্ষতা, পিএইচপির কোড সম্পর্কে গভীর জ্ঞান এবং আগের সাইবার হামলার কৌশল বোঝার অভিজ্ঞতাও এতে গুরুত্বপূর্ণ ভূমিকা রেখেছে।
অন্যদিকে, নিরাপত্তা আপডেট প্রকাশের আগেই এই দুর্বলতা ব্যবহার করে হামলা চালানোর ঘটনা শনাক্ত করেছে অ্যামাজন। প্রতিষ্ঠানটির পর্যবেক্ষণে ১৭ অক্টোবরের দিকে এ ধরনের সন্দেহজনক কার্যকলাপের ইঙ্গিত পাওয়া যায়। তবে হামলাকারীরা কীভাবে ত্রুটিগুলোর বিষয়ে জানতে পেরেছিল, তা এখনো নিশ্চিত নয়।
হামলার প্রমাণ মিলেছে, বাড়ছে উদ্বেগ
সাইবার নিরাপত্তা প্রতিষ্ঠান পালো অল্টো নেটওয়ার্কস ও ট্রেইল অব বিটসের তথ্য অনুযায়ী, শুক্রবারের মধ্যে ত্রুটি দুটি কাজে লাগিয়ে অনুপ্রবেশ এবং পরবর্তী ক্ষতিকর কার্যক্রমের প্রমাণ পাওয়া গেছে। তবে ঠিক কোন কোন সিস্টেম আক্রান্ত হয়েছে, সে বিষয়ে তখনো বিস্তারিত জানা যায়নি।
বিশেষজ্ঞদের আশঙ্কা, ছোট প্রতিষ্ঠান এবং ব্যক্তিগতভাবে ওয়েবসাইট পরিচালনাকারীরা সময়মতো নিরাপত্তা আপডেট ইনস্টল না করায় আগামী দিনগুলোতেও ঝুঁকি থেকে যেতে পারে। শুধু ওয়েবসাইট নয়, বিভিন্ন সফটওয়্যার ডেভেলপমেন্ট টুল, নেটওয়ার্ক যন্ত্রপাতি এবং নিরাপত্তা পণ্যেও পিএইচপির সংশ্লিষ্ট উপাদান ব্যবহৃত হতে পারে।
ঝুঁকি এড়াতে কী করবেন?
নিরাপত্তা বিশেষজ্ঞরা পিএইচপি ব্যবহারকারী ওয়েবসাইট ও সার্ভারের পরিচালকদের দ্রুত প্রয়োজনীয় পদক্ষেপ নেওয়ার পরামর্শ দিয়েছেন। গুরুত্বপূর্ণ করণীয়গুলো হলো—
- নিরাপত্তা আপডেট ইনস্টল: পিএইচপির সংশ্লিষ্ট সংস্করণের জন্য প্রকাশিত নিরাপত্তা প্যাচ দ্রুত প্রয়োগ করতে হবে।
- সার্ভারের কার্যক্রম পরীক্ষা: সার্ভার লগ বিশ্লেষণ করে সন্দেহজনক প্রবেশ বা অস্বাভাবিক কার্যক্রমের চিহ্ন খুঁজতে হবে।
- অননুমোদিত পরিবর্তন শনাক্ত: সার্ভারে অচেনা ফাইল, ক্ষতিকর সফটওয়্যার কিংবা সন্দেহজনক নির্দেশনা যুক্ত হয়েছে কি না, তা যাচাই করতে হবে।
- বিকল্প সুরক্ষা ব্যবস্থা: পুরোনো সফটওয়্যার ব্যবহার করার কারণে তাৎক্ষণিকভাবে আপডেট করা সম্ভব না হলে ঝুঁকি কমাতে অতিরিক্ত নিরাপত্তাব্যবস্থা নিতে হবে।
বিশেষজ্ঞদের মতে, এই ঘটনা পুরোনো সফটওয়্যারে থাকা নিরাপত্তা দুর্বলতার পাশাপাশি কৃত্রিম বুদ্ধিমত্তার সাহায্যে জটিল ত্রুটি শনাক্ত করার ক্রমবর্ধমান সক্ষমতাও তুলে ধরেছে। ভবিষ্যতে এ ধরনের ঝুঁকি মোকাবিলায় নিয়মিত কোড পরীক্ষা, সার্ভার পর্যবেক্ষণ এবং দ্রুত নিরাপত্তা হালনাগাদ করা আরও গুরুত্বপূর্ণ হয়ে উঠবে।