PHP-তে ভয়াবহ নিরাপত্তার ত্রুটি, কেন বিশ্বজুড়ে বন্ধ হচ্ছে ওয়েবসাইট, কী বিপদ হতে পারে?

3 min read

২. ঠিক কী ধরনের নিরাপত্তার ত্রুটি ধরা পড়েছে?

PHP-র রক্ষণাবেক্ষণের দায়িত্বে থাকা অলাভজনক সংস্থা PHP Foundation জানিয়েছে, ত্রুটিগুলি মেমরি ব্যবস্থাপনা ও ভুল সামলানোর ব্যবস্থার মতো গুরুত্বপূর্ণ অংশে রয়েছে। ওয়েবসাইটের প্রায় প্রতিটি অনুরোধ প্রক্রিয়াকরণের সময় এই অংশগুলি ব্যবহৃত হয়।

নিরাপত্তা সংস্থা Hadrian এই দুই ত্রুটিকে একসঙ্গে কাজে লাগানোর পদ্ধতির নাম দিয়েছে ‘PHP2Shell’।

- বিশেষ ভাবে তৈরি অনুরোধ পাঠিয়ে আক্রান্ত ওয়েবসাইটের মেমরিতে গোলমাল তৈরি করা সম্ভব হতে পারে।

- এর সুযোগে হ্যাকার সার্ভারে নিজের নির্দেশ চালাতে পারে।

- আমেরিকার National Security Agency (NSA)-র সতর্কতা অনুযায়ী, এর মাধ্যমে সার্ভারের ফাইল বা ডেটাবেসে সরাসরি প্রবেশের পথ তৈরি হতে পারে।

অর্থাৎ, শুধু ওয়েবসাইটের পৃষ্ঠা বদলে দেওয়া নয়, সার্ভারের নিয়ন্ত্রণ নেওয়া বা সংরক্ষিত তথ্যের নিরাপত্তা নষ্ট হওয়ারও আশঙ্কা রয়েছে। তবে ত্রুটি থাকা মানেই প্রতিটি ওয়েবসাইট ইতিমধ্যে হ্যাক হয়েছে, এমন নয়।

৩. কৃত্রিম বুদ্ধিমত্তা কী ভাবে ত্রুটি খুঁজল?

আগে নিরাপত্তা গবেষকেরা সফটওয়্যার পরীক্ষা করে ত্রুটি খুঁজতেন। এখন কৃত্রিম বুদ্ধিমত্তা বিপুল পরিমাণ কোড দ্রুত বিশ্লেষণ করে এমন দুর্বলতা চিহ্নিত করতে পারে, যা মানুষের নজর এড়িয়ে যেতে পারে।

- PHP Foundation জানিয়েছে, তারা Anthropic-এর উন্নত AI মডেলের সাহায্যে কোড পরীক্ষা করেছে এবং PHP-কে OpenAI-র ‘Patch the Planet’ কর্মসূচিতেও অন্তর্ভুক্ত করা হয়েছিল।

- ওই প্রক্রিয়ায় গবেষক Ryan A-র কাজের সময়েই, অগস্টের মাঝামাঝি, ত্রুটিগুলি চিহ্নিত হয় বলে Foundation জানিয়েছে।

- ত্রুটি প্রকাশের আগে ওয়েবসাইটগুলিকে সংশোধনের সময় দিতে ২২ অক্টোবর পর্যন্ত তথ্য প্রকাশ স্থগিত রাখা হয়েছিল। কিন্তু মঙ্গলবার অনলাইন ফোরাম ও সোশ্যাল মিডিয়ায় ত্রুটি সম্পর্কে তথ্য ছড়াতে শুরু করায় আগেই তা প্রকাশ করা হয়।

৪. বিপদ কতটা বড়?

PHP-র ব্যবহার ব্যাপক হওয়ায় একটি ত্রুটির প্রভাব একসঙ্গে বহু ওয়েবসাইটে পড়তে পারে। Hadrian জানিয়েছে, প্রকাশ্যে আসার পর থেকেই ত্রুটিকে কাজে লাগিয়ে বড় পরিসরে হামলার চেষ্টা দেখা যাচ্ছে।

সবচেয়ে বেশি ঝুঁকিতে ছোট ওয়েবসাইট থাকতে পারে, যেগুলির নিজস্ব নিরাপত্তা দল নেই বা সার্ভারের সফটওয়্যার সরাসরি আপডেট করার সুযোগ নেই। আবার একই সার্ভারে একাধিক ওয়েবসাইট চললে একটি দুর্বল ব্যবস্থার কারণে অন্যগুলিও ঝুঁকিতে পড়তে পারে।

PHP Foundation-এর বক্তব্য, ত্রুটিগুলি ল্যাঙ্গুয়েজটির অত্যন্ত গুরুত্বপূর্ণ অংশে থাকায় তা সংশোধন করাও কঠিন। আপডেট দিতে গিয়ে পুরনো ব্যবস্থার সঙ্গে সামঞ্জস্য, গতি এবং তৃতীয় পক্ষের এক্সটেনশন ঠিক রাখার বিষয়টিও বিবেচনা করতে হচ্ছে।

৫. ওয়েবসাইট ঠিক করতে কত সময় লাগবে?

নিরাপত্তা সংশোধনী বা প্যাচ ইতিমধ্যেই প্রকাশিত হয়েছে। তাই বিভিন্ন সংস্থা দ্রুত আপডেট লাগাচ্ছে। কিছু ওয়েবসাইট অল্প সময়ের মধ্যেই আবার চালু হয়েছে।

- নিরাপত্তা সংস্থাগুলি অবিলম্বে প্যাচ লাগানোর পরামর্শ দিয়েছে।

- সঙ্গে সঙ্গে আপডেট করা সম্ভব না হলে ঝুঁকিপূর্ণ ওয়েবসাইট সাময়িক ভাবে বন্ধ রাখার পরামর্শ দেওয়া হয়েছে।

- Hadrian-এর বক্তব্য, কয়েক ঘণ্টা পরিষেবা বন্ধ রাখার খরচের তুলনায় সার্ভার হ্যাক হয়ে যাওয়ার ক্ষতি অনেক বেশি।

- Sophos Counter Threat Unit-এর ডন স্মিথের মতে, PHP যেখানে যেখানে চলছে, সেই সব ব্যবস্থা খুঁজে বার করে আপডেট করা বড় চ্যালেঞ্জ।

- অস্ট্রেলিয়ান ন্যাশনাল ইউনিভার্সিটির অধ্যাপক সিগি গুডের সতর্কতা, যে ওয়েবসাইটগুলি আপডেটের জন্য বন্ধ হয়েছে, শুধু সেগুলিই উদ্বেগের কারণ নয়। যেগুলি এখনও চালু রয়েছে, কিন্তু নিরাপত্তা সংশোধন করেনি, সেগুলিও হ্যাকারদের লক্ষ্য হতে পারে।