ইন্টারনেটের বড় একটি অংশে ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হয়েছে কৃত্রিম বুদ্ধিমত্তার (এআই) সহায়তায়। এ ঘটনায় সাইবার হামলার ঝুঁকি এড়াতে বিভিন্ন দেশের সরকার ও নিরাপত্তা সংস্থা ওয়েবসাইটের নিরাপত্তা হালনাগাদ করার আহ্বান জানিয়েছে। দ্রুত ত্রুটি সংশোধন সম্ভব না হলে ওয়েবসাইট সাময়িকভাবে বন্ধ রাখারও পরামর্শ দেওয়া হয়েছে।
ব্রিটিশ গণমাধ্যম বিবিসি জানিয়েছে, বুধবার (২১ অক্টোবর) এসব ত্রুটি সমাধানে আপডেট প্রকাশ করা হয়। তবে ঝুঁকি এড়াতে এরই মধ্যে ফিনল্যান্ডের সরকারি ওয়েবসেবা, নেদারল্যান্ডসের কয়েকটি সরকারি ওয়েবসাইট এবং যুক্তরাজ্যের এডিনবরা কাউন্সিলের ওয়েবসাইটসহ বিভিন্ন অনলাইন সেবা সাময়িকভাবে বন্ধ রাখা হয়েছে।
সাইবার নিরাপত্তা প্রতিষ্ঠান উইজের (Wiz) দাবি, এআইয়ের মাধ্যমে শনাক্ত হওয়া নিরাপত্তা ত্রুটিগুলোর মধ্যে এগুলো অন্যতম গুরুতর। প্রতিষ্ঠানটির অনুমান, ইন্টারনেটের প্রায় ৭০ শতাংশ এ সমস্যার প্রভাবের আওতায় থাকতে পারে। তবে এ পরিসংখ্যান স্বাধীনভাবে যাচাই করতে পারেনি বিবিসি।
যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ) সামাজিক যোগাযোগমাধ্যম এক্সে জানিয়েছে, যেসব প্রতিষ্ঠান দ্রুত নিরাপত্তা আপডেট ইনস্টল করতে পারবে না, তাদের সিস্টেম সাময়িকভাবে বন্ধ রাখার বিষয়টি বিবেচনা করা উচিত।
সংস্থাটি সতর্ক করে বলেছে, এ ধরনের ত্রুটি হ্যাকারদের সার্ভারের ফাইল সিস্টেম কিংবা ডেটাবেইসে সরাসরি প্রবেশের সুযোগ করে দিতে পারে।
এদিকে হোয়াইট হাউস জানিয়েছে, সমস্যা সমাধানে যুক্তরাষ্ট্রের ফেডারেল সংস্থাগুলো শীর্ষস্থানীয় এআই গবেষণাগারগুলোর সঙ্গে কাজ করছে। জাপানের প্রধানমন্ত্রী সানায়ে তাকাইচিও প্রকাশ্যে প্রবেশযোগ্য ওয়েবসাইটগুলো পিএইচপি ব্যবহার করে পরিচালিত হচ্ছে কি না, তা পরীক্ষা করার আহ্বান জানিয়েছেন।
উইকিপিডিয়া পরিচালনাকারী উইকিমিডিয়া ফাউন্ডেশন জানিয়েছে, নিরাপত্তা ত্রুটিগুলো সমাধানে কাজ চলছে। সতর্কতামূলক ব্যবস্থা হিসেবে কিছু সিস্টেম সাময়িকভাবে বন্ধ রাখা হয়েছে। এর ফলে বুধবার উইকিপিডিয়ার কয়েকটি অংশে প্রবেশ করতে সমস্যায় পড়েন ব্যবহারকারীরা।
বিবিসির কয়েকটি অনুষ্ঠানের ওয়েবপেজ, যার মধ্যে ‘ডক্টর হু’ ও ‘দ্য ট্রেইটর্স’ রয়েছে, সেগুলোও অপ্রবেশযোগ্য হয়ে পড়ে। তবে এসব ওয়েবসাইট বন্ধ হওয়ার সঙ্গে পিএইচপির নিরাপত্তা ত্রুটির সরাসরি সম্পর্ক নিশ্চিত হওয়া যায়নি।
এক দশকের বেশি সময় অজানা ছিল ত্রুটি
ক্যালিফ ও উইজের সাইবার নিরাপত্তা গবেষকেরা পিএইচপির ত্রুটিগুলো শনাক্ত করেন। এ কাজে ওপেনএআইয়ের ‘প্যাচ দ্য প্ল্যানেট’ কর্মসূচির আওতায় উন্নত এআই প্রযুক্তি ব্যবহারের সুযোগ পেয়েছিল সংশ্লিষ্ট গবেষকেরা।
ওপেনএআই তাদের ব্লগে জানিয়েছে, সাম্প্রতিক সময়ে শনাক্ত হওয়া গুরুত্বপূর্ণ সাইবার নিরাপত্তা সমস্যাগুলোর মধ্যে এটি অন্যতম। প্রতিষ্ঠানটির একজন অভ্যন্তরীণ গবেষকও প্রায় একই সময়ে ত্রুটিটি শনাক্ত করেছিলেন।
প্রতিবেদন অনুযায়ী, ত্রুটিগুলো এক দশকেরও বেশি সময় ধরে শনাক্তের বাইরে ছিল। উন্নত এআই প্রযুক্তি ব্যবহার করে কয়েক সপ্তাহের গবেষণার পর আগস্টে সেগুলো খুঁজে পাওয়া যায়।
উইজ জানিয়েছে, উন্নত এআই মডেলের সহায়তায় কয়েক ঘণ্টার মধ্যেই বিভিন্ন অ্যাপ্লিকেশনের জন্য কার্যকর আক্রমণপদ্ধতি তৈরি ও পরীক্ষা করা সম্ভব হয়েছে।
পিএইচপি ফাউন্ডেশনের পরিকল্পনা ছিল চলতি মাসের শেষ দিকে ত্রুটির বিস্তারিত তথ্য ও সমাধান প্রকাশ করা। কিন্তু মঙ্গলবার সামাজিক যোগাযোগমাধ্যমে ত্রুটির তথ্য ফাঁস হয়ে যাওয়ায় নির্ধারিত সময়ের আগেই ঘোষণা দিতে হয়।
হ্যাকারদের লক্ষ্য হতে পারে ওয়েবসাইট
ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা ও ম্যাজেন্টার মতো ওয়েবসাইট পরিচালনার বিভিন্ন প্রযুক্তিতে পিএইচপি ব্যবহৃত হয়। এ ছাড়া হোস্টিং প্ল্যাটফর্ম ও বিভিন্ন সফটওয়্যারের পেছনেও রয়েছে এই প্রোগ্রামিং ভাষা।
সাইবার নিরাপত্তা বিশেষজ্ঞদের আশঙ্কা, এসব ত্রুটির সুযোগ নিয়ে হ্যাকাররা অনুমতি ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে। এর মাধ্যমে ক্ষতিকর সফটওয়্যার ইনস্টল কিংবা ওয়েবসাইট অচল করে দেওয়ার ঝুঁকি রয়েছে।
সোফোসের কাউন্টার থ্রেট ইউনিটের সাইবার নিরাপত্তা বিশেষজ্ঞ ডন স্মিথ বিবিসিকে বলেন, হ্যাকারদের কাছে এ ত্রুটিগুলো অগ্রাধিকারপ্রাপ্ত লক্ষ্য হয়ে উঠতে পারে। শুধু আপডেট ইনস্টল করাই যথেষ্ট নয়; কোনো প্রতিষ্ঠানের কোথায় কোথায় পিএইচপি ব্যবহৃত হচ্ছে, তা শনাক্ত করাও জরুরি।
ইন্টারনেট অবকাঠামো প্রতিষ্ঠান ক্লাউডফ্লেয়ারের প্রধান প্রযুক্তি কর্মকর্তা ডেন নেখট জানিয়েছেন, ত্রুটিগুলোকে কেন্দ্র করে প্রাথমিক পর্যায়ের সাইবার হামলার লক্ষণ দেখা যাচ্ছে। নতুন আক্রমণপদ্ধতি সামনে আসার সঙ্গে সঙ্গে সেগুলো ঠেকাতে প্রতিরোধব্যবস্থা হালনাগাদ করা হচ্ছে।
পুরোনো সংস্করণেও ঝুঁকি
ইউরোপীয় ইউনিয়নের কম্পিউটার ইমার্জেন্সি রেসপন্স টিম (সার্ট-ইইউ) জানিয়েছে, এসব ত্রুটির কারণে অনুমোদন ছাড়াই দূর থেকে সিস্টেমে কোড চালানোর সুযোগ তৈরি হতে পারে। সংস্থাটির তথ্য অনুযায়ী, ২০০৪ সালে প্রকাশিত পিএইচপি ৫ থেকে শুরু করে পরবর্তী সংস্করণগুলোও ঝুঁকির আওতায় থাকতে পারে।
তবে ঠিক কোন কোন সংস্করণ আক্রান্ত, তা এখনো পুরোপুরি স্পষ্ট নয়। পিএইচপি ফাউন্ডেশন তুলনামূলক নতুন সংস্করণগুলোর জন্য আপডেট প্রকাশ করেছে। পিএইচপি ৮.১ বা এর চেয়ে পুরোনো সংস্করণ ব্যবহারকারীদের নতুন সংস্করণে উন্নীত হওয়ার পরামর্শ দেওয়া হয়েছে।
যুক্তরাজ্যের জাতীয় সাইবার নিরাপত্তা কেন্দ্রসহ বিভিন্ন দেশের নিরাপত্তা সংস্থা দ্রুত আপডেট ইনস্টল করার আহ্বান জানিয়েছে। তাৎক্ষণিকভাবে ত্রুটি সংশোধন করা সম্ভব না হলে ঝুঁকি নিয়ন্ত্রণে না আসা পর্যন্ত সংশ্লিষ্ট সিস্টেম বন্ধ রাখার পরামর্শ দেওয়া হয়েছে।