ওয়েবসাইট তৈরিতে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপির দুটি গুরুতর নিরাপত্তাত্রুটি ঘিরে বিশ্বজুড়ে উদ্বেগ তৈরি হয়েছে। এসব ত্রুটি কাজে লাগিয়ে পাসওয়ার্ড ছাড়াই দূর থেকে কোনো ওয়েবসাইট বা সার্ভারে প্রবেশ করে তথ্য চুরি কিংবা ক্ষতিকর সফটওয়্যার স্থাপন করতে পারেন হ্যাকাররা। ইন্টারনেটের প্রায় ৭০ শতাংশ ওয়েবসাইট পিএইচপির ওপর নির্ভরশীল হওয়ায় এ ত্রুটির প্রভাব ব্যাপক হতে পারে।
প্রযুক্তিবিষয়ক ওয়েবসাইট টেকক্রাঞ্চের প্রতিবেদনে বলা হয়েছে, গত বুধবার ‘পিএইচপি২শেল’ নামে দুটি ত্রুটি (বাগ) প্রকাশ্যে আসে। এগুলোকে যথাক্রমে CVE-2026-109618 ও CVE-2026-109619 শনাক্তকরণ নম্বর দেওয়া হয়েছে। বাগ দুটি সংশোধনে সিকিওরিটি আপডেট করেছে পিএইচপি ফাউন্ডেশন। তবে এখনো অনেক সার্ভারে এই আপডেট না পৌঁছানোয় সেগুলো ঝুঁকিতে রয়েছে।
এই ত্রুটিগুলো কীভাবে কাজ করে?
পিএইচপি একটি ওপেন সোর্সের প্রোগ্রামিং ল্যাঙ্গুয়েজ, যা দিয়ে ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশন তৈরি করা হয়। ওয়ার্ডপ্রেস, ড্রুপাল ও জুমলার মতো জনপ্রিয় ওয়েব প্ল্যাটফর্মেও পিএইচপি ব্যবহৃত হয়।
প্রতিবেদন অনুযায়ী, ২০২৪ সালে ত্রুটি দুটি প্রথম শনাক্ত করা হলেও তখন সেগুলো কাজে লাগানোর কার্যকর পদ্ধতি জানা যায়নি। সম্প্রতি সাইবার নিরাপত্তা গবেষকেরা ত্রুটি দুটি ব্যবহার করে আক্রমণের কৌশল বের করেন। এরপর পিএইচপি ফাউন্ডেশনকে বিষয়টি জানানো হলে ত্রুটি সংশোধনের উদ্যোগ নেওয়া হয়।
এ ত্রুটির বিশেষ ঝুঁকি হলো, আক্রমণ চালাতে ব্যবহারকারীর কোনো লিংকে ক্লিক করা বা ফাইল খোলার প্রয়োজন হয় না। আক্রান্ত সার্ভারে যথাযথ সিকিওরিটি আপডেট না থাকলে দূর থেকেই সেখানে ক্ষতিকর নির্দেশনা চালানো সম্ভব হতে পারে। সাইবার নিরাপত্তার ভাষায় একে ‘রিমোট কোড এক্সিকিউশন’ বলা হয়।
এ ধরনের আক্রমণের মাধ্যমে হ্যাকাররা সার্ভারে ক্ষতিকর সফটওয়্যার স্থাপন, গুরুত্বপূর্ণ তথ্য চুরি কিংবা পরবর্তী সময়ে আবার প্রবেশের ব্যবস্থা তৈরি করতে পারেন।
কৃত্রিম বুদ্ধিমত্তার সহায়তায় শনাক্ত
ক্যালিফ নামের একটি প্রতিষ্ঠানের নিরাপত্তা গবেষকেরা পিএইচপির কোড নিরীক্ষার সময় ত্রুটি দুটি শনাক্ত করেন। তারা ওপেনএআই ও ক্লাউড নিরাপত্তা প্রতিষ্ঠান উইজের ‘হ্যাক দ্য প্ল্যানেট’ উদ্যোগের অংশ হিসেবে কাজ করছিলেন। পরে ওপেনএআই ত্রুটি কাজে লাগানোর পরীক্ষামূলক পদ্ধতিগুলো যাচাই করে।
গবেষকেরা জানিয়েছেন, ত্রুটি কাজে লাগানোর প্রক্রিয়ায় কৃত্রিম বুদ্ধিমত্তার সহায়তা নেওয়া হয়েছিল। তবে কাজটির বড় অংশ নির্ভর করেছে গবেষকদের আগে থেকে থাকা দক্ষতা, পিএইচপির কোড সম্পর্কে জ্ঞান এবং অতীতের সাইবার হামলার কৌশল বোঝার ওপর।
এদিকে, নিরাপত্তা হালনাগাদ প্রকাশের আগেই ত্রুটিগুলো কাজে লাগিয়ে হামলার ঘটনা ঘটেছে বলে জানিয়েছে অ্যামাজন। প্রতিষ্ঠানটির পর্যবেক্ষণে ১৭ অক্টোবরের দিকেই এ ধরনের কার্যকলাপের ইঙ্গিত পাওয়া যায়। তবে হামলাকারীরা কীভাবে ত্রুটির তথ্য পেয়েছিল, তা নিশ্চিত নয়।
এখন কী করা প্রয়োজন?
সাইবার নিরাপত্তা প্রতিষ্ঠান পালো অল্টো নেটওয়ার্কস ও ট্রেইল অব বিটসের তথ্য অনুযায়ী, শুক্রবারের মধ্যে ত্রুটি দুটি কাজে লাগিয়ে অনুপ্রবেশ এবং পরবর্তী ক্ষতিকর কার্যকলাপের প্রমাণ পাওয়া গেছে। তবে আক্রান্ত ব্যবস্থার পরিচয় তখনো জানা যায়নি।
নিরাপত্তা বিশেষজ্ঞদের আশঙ্কা, ছোট প্রতিষ্ঠান ও স্বতন্ত্র ওয়েবসাইট পরিচালকেরা সময়মতো হালনাগাদ না করায় আগামী দিনগুলোতেও হামলার ঝুঁকি থাকবে। পিএইচপি ব্যবহার করা ওয়েব সার্ভারের পাশাপাশি বিভিন্ন উন্নয়ন সরঞ্জাম, নেটওয়ার্ক যন্ত্র ও নিরাপত্তা পণ্যেও সংশ্লিষ্ট উপাদান থাকতে পারে।
ওয়েবসাইট পরিচালকদের দ্রুত পিএইচপির নিরাপত্তা হালনাগাদ ইনস্টল করা, সার্ভারের লগ পরীক্ষা করা এবং অননুমোদিত প্রবেশের লক্ষণ খুঁজে দেখার পরামর্শ দেওয়া হয়েছে। পুরোনো সফটওয়্যারনির্ভর ব্যবস্থায় হালনাগাদ করা সম্ভব না হলে বিকল্প নিরাপত্তাব্যবস্থা নেওয়াও জরুরি।
বিশেষজ্ঞদের মতে, এ ঘটনা পুরোনো প্রযুক্তির নিরাপত্তা দুর্বলতার পাশাপাশি কৃত্রিম বুদ্ধিমত্তার মাধ্যমে নতুন ত্রুটি শনাক্ত করার ক্রমবর্ধমান সক্ষমতাকেও সামনে এনেছে। ফলে ভবিষ্যতে বড় ধরনের সাইবার হামলা ঠেকাতে নিয়মিত নিরাপত্তা পরীক্ষা ও দ্রুত সফটওয়্যার হালনাগাদ আরও গুরুত্বপূর্ণ হয়ে উঠবে।