ইন্টারনেটের বড় একটি অংশে ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে (PHP) দুটি বড় আকারের সাইবার ত্রুটি শনাক্ত হয়েছে। এ পরিস্থিতিতে বিভিন্ন দেশের সরকার ও সংস্থার ওয়েবসাইটগুলোকে দ্রুত নিরাপত্তাব্যবস্থা হালনাগাদ করার আহ্বান জানানো হয়েছে। গতকাল বুধবার বিকেলে ত্রুটি দুটির সমাধানে একটি আপডেট প্রকাশ করা হয়।
সাইবার নিরাপত্তা সংস্থাগুলো জানিয়েছে, নির্ধারিত সময়ের মধ্যে যেসব প্রতিষ্ঠান নিরাপত্তা আপডেট প্রয়োগ করতে পারবে না, তাদের সাময়িকভাবে ওয়েবসাইট বন্ধ রাখার কথা বিবেচনা করতে হবে। এরই মধ্যে ফিনল্যান্ডের সরকার, যুক্তরাজ্যের এডিনবরা সিটি কাউন্সিল এবং বিবিসির কয়েকটি ওয়েবপেজসহ বিভিন্ন ওয়েবসাইট বন্ধ রাখা হয়েছে।
বিবিসির প্রতিবেদনে জানা গেছে, কৃত্রিম বুদ্ধিমত্তা (এআই) ব্যবহার করে ত্রুটি দুটি শনাক্ত করা হয়েছে। সাইবার নিরাপত্তা প্রতিষ্ঠান উইজ এগুলোকে এআইয়ের মাধ্যমে শনাক্ত হওয়া ‘এযাবৎকালের সবচেয়ে গুরুতর নিরাপত্তা ত্রুটি’ বলে অভিহিত করেছে। প্রযুক্তির এই অগ্রগতি সাইবার নিরাপত্তার পরিস্থিতি দ্রুত বদলে দিচ্ছে।
ফিনল্যান্ড সাময়িকভাবে সরকারের জনসাধারণের জন্য উন্মুক্ত ওয়েবসেবাগুলো বন্ধ করে দিয়েছে। নেদারল্যান্ডসের সাইবার নিরাপত্তা সংস্থাও জানিয়েছে, ত্রুটিগুলোর কারণে তারা নিজেদের ওয়েবসাইট বন্ধ রাখছে।
যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ) সামাজিক যোগাযোগমাধ্যম এক্সে একই ধরনের পরামর্শ দিয়েছে। সংস্থাটি বলেছে, যেসব প্রতিষ্ঠান নিরাপত্তা আপডেট প্রয়োগ করতে পারবে না, তাদের সিস্টেম সাময়িকভাবে বন্ধ রাখা উচিত।
এনএসএ লিখেছে, ‘এই ধরনের নিরাপত্তা ত্রুটি প্রায়ই সার্ভারের ফাইল সিস্টেম বা ডেটাবেজে সরাসরি প্রবেশের সুযোগ তৈরি করে।’
এ দিকে হোয়াইট হাউস জানিয়েছে, ত্রুটিগুলোর সমাধান দ্রুত কার্যকর করতে মার্কিন কেন্দ্রীয় সরকারি সংস্থাগুলো শীর্ষস্থানীয় এআই গবেষণাগারগুলোর সঙ্গে কাজ করছে।
জাপানের প্রধানমন্ত্রী সানায়ে তাকাইচিও এক্সে দেওয়া এক পোস্টে জনগণকে নিজেদের জন্য উন্মুক্ত ওয়েবসাইটগুলো পিএইচপি ব্যবহার করে কি না, তা যাচাই করার আহ্বান জানিয়েছেন।
অনলাইন বিশ্বকোষ উইকিপিডিয়া পরিচালনাকারী উইকিমিডিয়া ফাউন্ডেশন জানিয়েছে, তারা নিরাপত্তা ত্রুটিগুলো সমাধানে কাজ করছে। ফাউন্ডেশনটি বলেছে, ‘নিরাপদে নিরাপত্তা আপডেট প্রয়োগ করা সম্ভব না হওয়া পর্যন্ত সতর্কতামূলক ব্যবস্থা হিসেবে আমরা আরও কয়েকটি সিস্টেম বন্ধ রেখেছি।’
এর ফলে বুধবার উইকিপিডিয়ার কিছু অংশে প্রবেশ করতে পারেননি ব্যবহারকারীরা।
এডিনবরা সিটি কাউন্সিলের ওয়েবসাইটও অপ্রবেশযোগ্য হয়ে পড়ে। বিবিসির কয়েকটি অনুষ্ঠানের ওয়েবসাইট—যেমন ‘ডক্টর হু’ ও ‘দ্য ট্রেইটার্স’—বন্ধ পাওয়া যায়। তবে এসব ওয়েবসাইট বন্ধ হওয়ার সঙ্গে পিএইচপির নিরাপত্তা ত্রুটির সরাসরি সম্পর্ক আছে কি না, তা নিশ্চিত করা হয়নি। এ বিষয়ে মন্তব্য জানতে বিবিসি সংশ্লিষ্ট কর্তৃপক্ষের সঙ্গে যোগাযোগ করেছে।
শিল্পকর্ম প্রদর্শনের অনলাইন প্ল্যাটফর্ম ডেভিয়্যান্টআর্টসহ আরও কয়েকটি ওয়েবসাইট জানিয়েছে, রক্ষণাবেক্ষণের জন্য সেগুলো সাময়িকভাবে বন্ধ রয়েছে। তবে বন্ধ রাখার নির্দিষ্ট কারণ জানায়নি তারা।
সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ ও উইজের গবেষকেরা ত্রুটি দুটি শনাক্ত করেন। ক্যালিফ ও পিএইচপি ফাউন্ডেশন ওপেনএআইয়ের চালু করা ‘প্যাচ দ্য প্ল্যানেট’ কর্মসূচির অংশ ছিল।
এই কর্মসূচির আওতায় প্রতিষ্ঠান দুটিকে ওয়েব উন্নয়নে ব্যবহৃত প্রোগ্রামিং ভাষার ত্রুটি খুঁজে বের করা ও সমাধানের জন্য ওপেনএআইয়ের উন্নত এআই সরঞ্জাম ব্যবহারের সুযোগ দেওয়া হয়েছিল।
ওপেনএআই এক ব্লগ পোস্টে বলেছে, এই আবিষ্কার সাম্প্রতিক সময়ের সবচেয়ে গুরুত্বপূর্ণ সাইবার নিরাপত্তা সমস্যাগুলোর একটি। প্রতিষ্ঠানটির নিজস্ব একজন গবেষকও প্রায় একই সময়ে অন্য প্রতিষ্ঠানগুলোর মতো ত্রুটিটি শনাক্ত করেছিলেন বলে জানানো হয়েছে।
ত্রুটি দুটি এক দশকেরও বেশি সময় ধরে ছিল কিন্তু শনাক্ত করা যায়নি। চলতি বছরের আগস্টে কয়েক সপ্তাহ ধরে উন্নত এআই সরঞ্জাম ব্যবহারের পর সেগুলো খুঁজে পাওয়া যায়। উইজ তাদের ব্লগ পোস্টে বলেছে, ‘এই প্রক্রিয়াকে বাস্তবসম্মত করে তুলতে উন্নত এআই মডেলগুলো ছিল অত্যন্ত গুরুত্বপূর্ণ। এগুলোর সাহায্যে কয়েক ঘণ্টার মধ্যেই একাধিক অ্যাপ্লিকেশনের জন্য কার্যকর সাইবার আক্রমণ-পদ্ধতি তৈরি ও প্রয়োজন অনুযায়ী পরিবর্তন করা সম্ভব হয়েছে।’
উইজের অনুমান, ইন্টারনেটের ‘প্রায় ৭০ শতাংশ’ এই ত্রুটির কারণে ঝুঁকিতে রয়েছে। তবে বিবিসি এই হিসাবের সত্যতা স্বাধীনভাবে যাচাই করতে পারেনি।
পিএইচপি ফাউন্ডেশনের পরিকল্পনা ছিল, চলতি মাসের শেষ দিকে ত্রুটিগুলোর বিস্তারিত প্রকাশের পাশাপাশি সমাধানের জন্য একটি পূর্ণাঙ্গ আপডেট বা ‘প্যাচ’ দেওয়া হবে। কিন্তু মঙ্গলবার সামাজিক যোগাযোগমাধ্যমে ত্রুটির বিবরণ ফাঁস হয়ে যাওয়ায় ফাউন্ডেশনটি নির্ধারিত সময়ের আগেই ত্রুটি ও এর ব্যাপকতা সম্পর্কে ঘোষণা দিতে বাধ্য হয়।
নেদারল্যান্ডস সরকারের ন্যাশনাল ইনস্টিটিউট ফর পাবলিক হেলথ অ্যান্ড দ্য এনভায়রনমেন্টও তাদের ওয়েবসাইট বন্ধ রেখেছে। একইভাবে দেশটির পার্লামেন্টের নিম্নকক্ষ টুয়েডে কামারের ওয়েবসাইটেও প্রবেশ করা যাচ্ছে না।
যুক্তরাজ্যের জাতীয় সাইবার নিরাপত্তা কেন্দ্র (এনসিএসসি) এবং ইউরোপীয় ইউনিয়ন ও অস্ট্রেলিয়ার সংশ্লিষ্ট সংস্থাগুলোও পিএইচপি ব্যবহারকারী প্রতিষ্ঠানগুলোকে নিরাপত্তা আপডেট প্রয়োগের আহ্বান জানিয়েছে।
এনসিএসসি এক নির্দেশনায় বলেছে, ‘অবিলম্বে ত্রুটি সংশোধন করা সম্ভব না হলে সম্পূর্ণ ঝুঁকি মোকাবিলা করা না পর্যন্ত প্রতিষ্ঠানগুলোর সিস্টেম বন্ধ রাখার কথা বিবেচনা করা উচিত।’
জাপানের জাতীয় সাইবার নিরাপত্তা দপ্তর এবং ইউরোপীয় ইউনিয়নের সাইবার নিরাপত্তা কর্মকর্তারাও একই ধরনের সতর্কতা জারি করেছেন।
এ দিকে সাইবার নিরাপত্তা প্রতিষ্ঠান হান্ট্রেস জানিয়েছে, ‘পিএইচপি সর্বত্র ব্যবহৃত হয়। ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা ও ম্যাজেন্টার মতো ওয়েবসাইট পরিচালনার ব্যবস্থা, শেয়ারড হোস্টিং প্ল্যাটফর্ম, কন্ট্রোল প্যানেল এবং এমন অসংখ্য সফটওয়্যারের পেছনে এটি কাজ করে, যেগুলো পিএইচপি ব্যবহার করার বিষয়টি প্রকাশও করে না।’
সাইবার নিরাপত্তা প্রতিষ্ঠান সোফোসের কাউন্টার থ্রেট ইউনিটের বিশেষজ্ঞ ডন স্মিথ বিবিসিকে বলেন, হ্যাকারদের কাছে এই ত্রুটিগুলো ‘সম্ভবত অগ্রাধিকারভিত্তিক লক্ষ্য’ হয়ে উঠবে।
তাঁর মতে, তাৎক্ষণিক চ্যালেঞ্জ শুধু নিরাপত্তা আপডেট ইনস্টল করা নয়; বরং কোনো প্রতিষ্ঠানের কোথায় কোথায় পিএইচপি চলছে, তার প্রতিটি ব্যবহার শনাক্ত করা এবং সেগুলোর ব্যবস্থাপনা নিশ্চিত করাও জরুরি।
স্মিথ বলেন, ‘পিএইচপির ব্যবহার অত্যন্ত ব্যাপক। এটি জনসাধারণের জন্য উন্মুক্ত ওয়েবসাইট, কনটেন্ট ব্যবস্থাপনা ব্যবস্থা, হোস্টিং প্ল্যাটফর্ম এবং তৃতীয় পক্ষের পণ্যের ভেতরে কাজ করতে পারে। অনেক সময় যে প্রতিষ্ঠান এটি ব্যবহার করছে, তার কাছেও বিষয়টি স্পষ্ট থাকে না।’
কোনো আক্রমণকারী ইতিমধ্যে সিস্টেমে প্রবেশের সুযোগ পেয়েছে কি না, সে বিষয়ে সতর্কতার সঙ্গে লক্ষণ খুঁজে দেখাও জরুরি বলে মন্তব্য করেন তিনি।
ইউরোপীয় ইউনিয়নের কম্পিউটার ইমার্জেন্সি রেসপন্স টিম (সার্ট-ইইউ) জানিয়েছে, ত্রুটি দুটির ঝুঁকির মাত্রা নির্দেশ করে যে, ব্যবহারকারীর পরিচয় যাচাই ছাড়াই দূর থেকে কোড চালানোর সুযোগ তৈরি হতে পারে।
এ ধরনের সাইবার হামলার মাধ্যমে হ্যাকাররা ক্ষতিকর সফটওয়্যার ইনস্টল করতে পারে এবং ওয়েবসাইট অচল করে দিতে পারে।
ইন্টারনেট অবকাঠামো প্রতিষ্ঠান ক্লাউডফ্লেয়ারের প্রধান প্রযুক্তি কর্মকর্তা ডেন কেইনেখট জানিয়েছেন, তাঁরা ইতিমধ্যে প্রাথমিক পর্যায়ের সাইবার হামলার লক্ষণ দেখতে পাচ্ছেন। তিনি বলেন, ‘নতুন নতুন আক্রমণপদ্ধতি সামনে আসার সঙ্গে সঙ্গে আমরা সেগুলো মোকাবিলার ব্যবস্থা হালনাগাদ করছি।’
এনসিএসসি বলেছে, প্রতিষ্ঠানগুলো নিরাপত্তা আপডেট ইনস্টল করার পরও তৃতীয় পক্ষের সফটওয়্যার সরবরাহকারীদের নতুন নিরাপত্তা আপডেটের বিষয়ে নিয়মিত নজর রাখতে হবে। পিএইচপি অন্তর্ভুক্ত রয়েছে এমন যন্ত্রপাতি ও সেবার ক্ষেত্রেও এই সতর্কতা প্রযোজ্য।
প্রোগ্রামিং ভাষাটির ঠিক কোন কোন সংস্করণ আক্রান্ত, তা এখনো স্পষ্ট নয়। তবে সার্ট-ইইউ জানিয়েছে, ২০০৪ সালে প্রকাশিত পিএইচপি ৫ থেকে শুরু করে পরবর্তী সব সংস্করণই ঝুঁকিতে থাকতে পারে।
পিএইচপি ফাউন্ডেশন অবশ্য আপডেট দিয়েছে শুধু সর্বশেষ সংস্করণগুলোর জন্য। পিএইচপি ৮.১ বা এর আগের সংস্করণ ব্যবহারকারীদের নতুন সংস্করণে উন্নীত হওয়ার আহ্বান জানানো হয়েছে।
ওয়েবসাইট তৈরির কাজে ব্যবহারের জন্য পিএইচপি তৈরি করা হয়েছিল। ওয়েবসাইটে প্রবেশ করলে ব্যবহারকারী যে বিষয়বস্তু দেখতে পান, তা তৈরি ও পরিবেশনের জন্য সার্ভারে এই ভাষা ব্যবহার করা হয়। সব ওয়েবসাইট পিএইচপি ব্যবহার করে না। তবে ইন্টারনেটের বড় একটি অংশ এই প্রোগ্রামিং ভাষার ওপর নির্ভরশীল।