ইন্টারনেটের বড় একটি অংশে ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপি। এতে গুরুতর দুটি সাইবার নিরাপত্তা ত্রুটি শনাক্ত হয়েছে। এর পর বিশ্বজুড়ে ওয়েবসাইটগুলোকে দ্রুত নিরাপত্তা হালনাগাদ করার আহ্বান জানিয়েছে বিভিন্ন দেশের সরকার ও সংস্থা। গতকাল বিকালে ত্রুটি দুটি সংশোধনের জন্য আপডেট প্রকাশ করা হয়। খবর বিবিসি।
সাইবার নিরাপত্তা সংশ্লিষ্ট সংস্থাগুলো বলেছে, নির্ধারিত সময়ের মধ্যে যেসব প্রতিষ্ঠান ত্রুটিগুলো সংশোধন করতে পারবে না, তাদের ওয়েবসাইট সাময়িকভাবে বন্ধ রাখার বিষয়টি বিবেচনা করা উচিত। এরই মধ্যে ফিনল্যান্ড সরকার, এডিনবরা সিটি কাউন্সিল ও বিবিসির কয়েকটি ওয়েবপেজসহ বিভিন্ন প্রতিষ্ঠানের ওয়েবসাইট বন্ধ রাখা হয়েছে।
কৃত্রিম বুদ্ধিমত্তা বা এআইয়ের সাহায্যে ত্রুটি দুটি শনাক্ত করা হয়েছে। সাইবার নিরাপত্তা প্রতিষ্ঠান উইজ এগুলোকে এআইয়ের মাধ্যমে শনাক্ত হওয়া ‘এ যাবৎকালের সবচেয়ে গুরুতর নিরাপত্তা ত্রুটি’ বলে বর্ণনা করেছে। প্রযুক্তি খাতের এই পরিবর্তন সাইবার নিরাপত্তার পরিস্থিতিকেও নতুনভাবে প্রভাবিত করছে।
ফিনল্যান্ড সরকার সাময়িকভাবে তাদের সরকারি ওয়েবসেবাগুলো বন্ধ করে দিয়েছে। নেদারল্যান্ডসের সাইবার নিরাপত্তা সংস্থাও জানিয়েছে, ত্রুটিগুলোর কারণে সতর্কতামূলক ব্যবস্থা হিসেবে তাদের ওয়েবসাইট বন্ধ রাখা হচ্ছে।
মার্কিন ন্যাশনাল সিকিউরিটি এজেন্সি (এনএসএ) সামাজিক যোগাযোগমাধ্যম এক্সে একই ধরনের পরামর্শ দিয়েছে। সংস্থাটি বলেছে, নিরাপত্তা আপডেট ইনস্টল করা সম্ভব না হলে প্রতিষ্ঠানগুলোর উচিত নিজেদের সিস্টেম অফলাইনে রাখা।
এনএসএ লিখেছে, ‘এসব নিরাপত্তা ত্রুটি প্রায়ই সরাসরি সার্ভারের ফাইল সিস্টেম বা ডাটাবেজে প্রবেশের সুযোগ করে দেয়।’
এদিকে হোয়াইট হাউজ জানিয়েছে, নিরাপত্তা ত্রুটিগুলো সংশোধনের কাজ দ্রুত করতে যুক্তরাষ্ট্রের বিভিন্ন সরকারি সংস্থা শীর্ষস্থানীয় এআই গবেষণাগারগুলোর সঙ্গে কাজ করছে।
এক্সে দেয়া এক পোস্টে জাপানের প্রধানমন্ত্রী সানায়ে তাকাইচিও জনগণকে নিজেদের প্রতিষ্ঠানের উন্মুক্ত ওয়েবসাইটগুলো পিএইচপি ব্যবহার করে পরিচালিত হচ্ছে কিনা, তা যাচাই করার আহ্বান জানিয়েছেন।
অনলাইন বিশ্বকোষ উইকিপিডিয়া পরিচালনাকারী উইকিমিডিয়া ফাউন্ডেশন জানিয়েছে, তারা নিরাপত্তা ত্রুটিগুলো সংশোধনের কাজ করছে।
প্রতিষ্ঠানটি বলেছে, ‘নিরাপদে নিরাপত্তা ত্রুটি সংশোধন করা না যাওয়া পর্যন্ত সতর্কতামূলক ব্যবস্থা হিসেবে আমরা আরও কয়েকটি সিস্টেম বন্ধ রেখেছি।’
এর ফলে বুধবার উইকিপিডিয়ার কিছু অংশে প্রবেশ করতে পারেননি ব্যবহারকারীরা।
বিবিসির কয়েকটি অনুষ্ঠানভিত্তিক ওয়েবসাইট, যার মধ্যে ‘ডক্টর হু’ ও ‘দ্য ট্রেইটার্স’ রয়েছে, সেগুলোও বন্ধ পাওয়া গেছে।
তবে এসব ওয়েবসাইট বন্ধ হওয়ার সঙ্গে পিএইচপির নিরাপত্তা ত্রুটির সরাসরি সম্পর্ক রয়েছে কিনা, তা সংশ্লিষ্ট প্রতিষ্ঠানগুলো নিশ্চিত করেনি।
ইন্টারনেটের প্রায় ৭০ শতাংশ প্রভাবিত হওয়ার আশঙ্কা
শিল্পভিত্তিক অনলাইন প্লাটফর্ম ডেভিয়েন্টআর্টসহ আরো কয়েকটি ওয়েবসাইট জানিয়েছে, রক্ষণাবেক্ষণের জন্য সেগুলো সাময়িকভাবে বন্ধ রাখা হয়েছে। তবে এর পেছনের কারণ নির্দিষ্ট করে জানায়নি তারা।
ক্যালিফ ও উইজ নামের দুটি প্রতিষ্ঠানের সাইবার নিরাপত্তা গবেষকরা পিএইচপির নিরাপত্তা ত্রুটি দুটি শনাক্ত করেন।
ক্যালিফ ও পিএইচপি ফাউন্ডেশন ওপেনএআইয়ের শুরু করা ‘প্যাচ দ্য প্ল্যানেট’ নামের একটি কর্মসূচির অংশ ছিল। এই কর্মসূচির আওতায় ওয়েব ডেভেলপমেন্টে ব্যবহৃত প্রোগ্রামিং ভাষার ত্রুটি খুঁজে বের করা ও সংশোধনের জন্য প্রতিষ্ঠানগুলোকে ওপেনএআইয়ের উন্নত এআই সরঞ্জাম ব্যবহারের সুযোগ দেয়া হয়।
ওপেনএআই এক ব্লগ পোস্টে বলেছে, এই আবিষ্কার সাম্প্রতিক সময়ের সবচেয়ে গুরুত্বপূর্ণ সাইবার নিরাপত্তা সমস্যাগুলোর একটি। একই সময়ে তাদের প্রতিষ্ঠানের একজন অভ্যন্তরীণ গবেষকও ত্রুটিটি শনাক্ত করেছিলেন বলে জানিয়েছে সংস্থাটি।
এক দশকেরও বেশি সময় ধরে ত্রুটি দুটি শনাক্ত করা যায়নি। তবে কয়েক সপ্তাহ ধরে উন্নত এআই সরঞ্জাম ব্যবহার করার পর আগস্টে এগুলো শনাক্ত হয়।
উইজের হিসাব অনুযায়ী, ইন্টারনেটের প্রায় ৭০ শতাংশ এই ত্রুটির কারণে প্রভাবিত হতে পারে।
পিএইচপি ফাউন্ডেশনের পরিকল্পনা ছিল, চলতি মাসের শেষ দিকে ত্রুটি শনাক্তের তথ্য প্রকাশের পাশাপাশি এর পূর্ণাঙ্গ সমাধান বা ‘প্যাচ’ সরবরাহ করা। তবে গত মঙ্গলবার সামাজিক যোগাযোগমাধ্যমে ত্রুটিগুলোর বিস্তারিত তথ্য ফাঁস হয়ে যাওয়ায় নির্ধারিত সময়ের আগেই ঘোষণা দিতে বাধ্য হয় প্রতিষ্ঠানটি। এতে ত্রুটির ব্যাপকতা সম্পর্কেও দ্রুত তথ্য প্রকাশ করতে হয়।
হামলার প্রাথমিক লক্ষণ দেখা যাচ্ছে
সাইবার নিরাপত্তা প্রতিষ্ঠান হান্ট্রেস জানিয়েছে, ইন্টারনেটের সর্বত্রই পিএইচপির ব্যবহার রয়েছে। ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা ও ম্যাজেন্টার মতো প্লাটফর্ম, শেয়ারড হোস্টিং সেবা, কন্ট্রোল প্যানেল এবং এমন অনেক সফটওয়্যার পিএইচপির ওপর নির্ভরশীল, যেগুলোতে এই ভাষা ব্যবহারের বিষয়টি ব্যবহারকারী প্রতিষ্ঠানের কাছে স্পষ্টও নাও হতে পারে।
সোফোস কাউন্টার থ্রেট ইউনিটের সাইবার নিরাপত্তা বিশেষজ্ঞ ডন স্মিথ বলেন, হ্যাকারদের কাছে এই ত্রুটিগুলো ‘সম্ভবত অগ্রাধিকারপ্রাপ্ত লক্ষ্য’ হয়ে উঠবে।
তিনি বলেন, তাৎক্ষণিক চ্যালেঞ্জটি শুধু নিরাপত্তা আপডেট ইনস্টল করা নয়; বরং কোনো প্রতিষ্ঠানের কোথায় কোথায় পিএইচপি চলছে, তার প্রতিটি ব্যবহার শনাক্ত করা এবং সেগুলো পরিচালনা করাও গুরুত্বপূর্ণ।
স্মিথ বলেন, ‘পিএইচপির ব্যবহার ব্যাপক। এটি জনসাধারণের জন্য উন্মুক্ত ওয়েবসাইট, কনটেন্ট ম্যানেজমেন্ট সিস্টেম, হোস্টিং প্লাটফর্ম এবং তৃতীয় পক্ষের পণ্যের ভেতরে কাজ করতে পারে। অনেক সময় পিএইচপি ব্যবহারের বিষয়টি সংশ্লিষ্ট প্রতিষ্ঠান নিজেও বুঝতে পারে না।’
ইউরোপীয় ইউনিয়নের কম্পিউটার ইমার্জেন্সি রেসপন্স টিম (সিইআরটি-ইইউ) জানিয়েছে, নিরাপত্তা ত্রুটিগুলোর জন্য নির্ধারিত ঝুঁকির মাত্রা থেকে বোঝা যায়, ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে কোড চালানোর সুযোগ তৈরি হতে পারে।
এ ধরনের সাইবার হামলার মাধ্যমে হ্যাকাররা ক্ষতিকর সফটওয়্যার ইনস্টল করতে পারে এবং ওয়েবসাইট অচল করে দিতে পারে।
ইন্টারনেট অবকাঠামো প্রতিষ্ঠান ক্লাউডফ্লেয়ারের প্রধান প্রযুক্তি কর্মকর্তা ডেন কেনেখট জানিয়েছেন, তারা এরই মধ্যে হামলার প্রাথমিক লক্ষণ দেখতে পাচ্ছেন। নতুন নতুন আক্রমণপদ্ধতি সামনে আসার সঙ্গে সঙ্গে তারা প্রতিরোধব্যবস্থা হালনাগাদ করছেন।
প্রোগ্রামিং ভাষাটির ঠিক কোন কোন সংস্করণ আক্রান্ত, তা এখনো স্পষ্ট নয়। তবে সিইআরটি-ইইউ জানিয়েছে, ২০০৪ সালে প্রকাশিত পিএইচপি ৫ থেকে শুরু করে পরবর্তী সংস্করণগুলোও ঝুঁকির মধ্যে থাকতে পারে।
পিএইচপি ফাউন্ডেশন অবশ্য কেবল সর্বশেষ সংস্করণগুলোর জন্য নিরাপত্তা আপডেট প্রকাশ করেছে। পিএইচপি ৮.১ বা তার আগের সংস্করণ ব্যবহারকারীদের নতুন সংস্করণে হালনাগাদ করার আহ্বান জানানো হয়েছে।
সব ওয়েবসাইট পিএইচপি ব্যবহার করে না। তবে ইন্টারনেটের বড় একটি অংশ এই প্রোগ্রামিং ভাষার ওপর নির্ভরশীল। ফলে নিরাপত্তা ত্রুটি দুটি বিশ্বজুড়ে ওয়েবসাইট ও অনলাইন সেবার জন্য বড় ধরনের ঝুঁকি তৈরি করেছে।