ওয়েবসাইট তৈরিতে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপির দুটি গুরুতর নিরাপত্তাত্রুটি ঘিরে বিশ্বজুড়ে উদ্বেগ তৈরি হয়েছে। এসব ত্রুটি কাজে লাগিয়ে হ্যাকাররা পাসওয়ার্ড ছাড়াই দূর থেকে সার্ভারে প্রবেশ, তথ্য চুরি কিংবা ক্ষতিকর সফটওয়্যার স্থাপন করতে পারেন। ইন্টারনেটের প্রায় ৭০ শতাংশ ওয়েবসাইট পিএইচপির ওপর নির্ভরশীল হওয়ায় এ দুর্বলতার প্রভাব ব্যাপক হতে পারে।

প্রযুক্তিবিষয়ক ওয়েবসাইট টেকক্রাঞ্চের প্রতিবেদনে বলা হয়েছে, গত বুধবার ‘পিএইচপি২শেল’ নামে পরিচিত দুটি নিরাপত্তাত্রুটির তথ্য প্রকাশ্যে আসে। ত্রুটি দুটির শনাক্তকরণ নম্বর হলো CVE-2026-109618 ও CVE-2026-109619। এগুলো সংশোধনে নিরাপত্তা হালনাগাদ প্রকাশ করেছে পিএইচপি ফাউন্ডেশন। তবে অনেক সার্ভারে এখনো হালনাগাদ ইনস্টল না হওয়ায় সেগুলো ঝুঁকিতে রয়েছে।

কীভাবে কাজ করে এই ত্রুটি

পিএইচপি একটি ওপেন সোর্স প্রোগ্রামিং ভাষা, যা ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশন তৈরিতে ব্যবহৃত হয়। ওয়ার্ডপ্রেস, ড্রুপাল ও জুমলার মতো জনপ্রিয় ওয়েব প্ল্যাটফর্মেও এর ব্যবহার রয়েছে।

প্রতিবেদন অনুযায়ী, ২০২৪ সালে ত্রুটি দুটি প্রথম শনাক্ত করা হয়েছিল। তবে তখন সেগুলো কাজে লাগিয়ে আক্রমণ চালানোর কার্যকর পদ্ধতি জানা যায়নি। সম্প্রতি সাইবার নিরাপত্তা গবেষকেরা ত্রুটি দুটি কাজে লাগানোর কৌশল বের করেন। পরে বিষয়টি পিএইচপি ফাউন্ডেশনকে জানানো হলে সেগুলো সংশোধনের উদ্যোগ নেওয়া হয়।

ত্রুটি দুটির অন্যতম উদ্বেগজনক দিক হলো, আক্রমণ চালাতে ব্যবহারকারীকে কোনো লিংকে ক্লিক করা বা ফাইল খোলার প্রয়োজন হয় না। আক্রান্ত সার্ভারে প্রয়োজনীয় নিরাপত্তা হালনাগাদ না থাকলে দূর থেকেই সেখানে ক্ষতিকর নির্দেশনা চালানো সম্ভব হতে পারে। সাইবার নিরাপত্তার ভাষায় এ ধরনের আক্রমণকে বলা হয় ‘রিমোট কোড এক্সিকিউশন’।

এ পদ্ধতিতে হ্যাকাররা সার্ভারে ক্ষতিকর সফটওয়্যার স্থাপন, গুরুত্বপূর্ণ তথ্য চুরি কিংবা ভবিষ্যতে আবারও প্রবেশের পথ তৈরি করতে পারেন।

কৃত্রিম বুদ্ধিমত্তার সহায়তায় শনাক্ত

ক্যালিফ নামের একটি প্রতিষ্ঠানের নিরাপত্তা গবেষকেরা পিএইচপির কোড পরীক্ষা করার সময় ত্রুটি দুটি শনাক্ত করেন। তাঁরা ওপেনএআই ও সাইবার নিরাপত্তা প্রতিষ্ঠান উইজের ‘হ্যাক দ্য প্ল্যানেট’ উদ্যোগের অংশ হিসেবে কাজ করছিলেন। পরে ওপেনএআই ত্রুটি কাজে লাগানোর পরীক্ষামূলক পদ্ধতিগুলো যাচাই করে।

গবেষকদের ভাষ্য অনুযায়ী, ত্রুটিগুলো কাজে লাগানোর প্রক্রিয়ায় কৃত্রিম বুদ্ধিমত্তার সহায়তা নেওয়া হয়েছিল। তবে কাজটির বড় অংশে গবেষকদের পূর্ব অভিজ্ঞতা, পিএইচপি কোড সম্পর্কে জ্ঞান এবং অতীতের সাইবার হামলার কৌশল বোঝার দক্ষতা গুরুত্বপূর্ণ ভূমিকা রেখেছে।

এদিকে নিরাপত্তা হালনাগাদ প্রকাশের আগেই ত্রুটিগুলো কাজে লাগিয়ে হামলার ঘটনা ঘটেছে বলে জানিয়েছে অ্যামাজন। প্রতিষ্ঠানটির পর্যবেক্ষণে ১৭ অক্টোবরের দিকে এ ধরনের কার্যকলাপের ইঙ্গিত পাওয়া যায়। তবে হামলাকারীরা কীভাবে ত্রুটিগুলোর তথ্য পেয়েছিল, তা নিশ্চিত হওয়া যায়নি।

সার্ভার সুরক্ষায় যা করতে হবে

সাইবার নিরাপত্তা প্রতিষ্ঠান পালো অল্টো নেটওয়ার্কস ও ট্রেইল অব বিটসের তথ্য অনুযায়ী, শুক্রবারের মধ্যে ত্রুটি দুটি কাজে লাগিয়ে অনুপ্রবেশ ও পরবর্তী ক্ষতিকর কার্যকলাপের প্রমাণ পাওয়া গেছে। তবে আক্রান্ত ব্যবস্থাগুলোর পরিচয় তখনো জানা যায়নি।

নিরাপত্তা বিশেষজ্ঞদের আশঙ্কা, ছোট প্রতিষ্ঠান ও ব্যক্তিগতভাবে পরিচালিত ওয়েবসাইটগুলোর ক্ষেত্রে ঝুঁকি বেশি হতে পারে। কারণ, অনেক ক্ষেত্রে এসব ওয়েবসাইটের সফটওয়্যার নিয়মিত হালনাগাদ করা হয় না। পিএইচপি ব্যবহার করা ওয়েব সার্ভারের পাশাপাশি বিভিন্ন উন্নয়ন সরঞ্জাম, নেটওয়ার্ক যন্ত্র ও নিরাপত্তা পণ্যেও সংশ্লিষ্ট উপাদান থাকতে পারে।

ওয়েবসাইট পরিচালকদের দ্রুত পিএইচপির নিরাপত্তা হালনাগাদ ইনস্টল, সার্ভারের লগ পরীক্ষা এবং অননুমোদিত প্রবেশের লক্ষণ খুঁজে দেখার পরামর্শ দেওয়া হয়েছে। পুরোনো সফটওয়্যারনির্ভর ব্যবস্থায় হালনাগাদ করা সম্ভব না হলে বিকল্প নিরাপত্তাব্যবস্থা গ্রহণের ওপরও গুরুত্ব দেওয়া হচ্ছে।

বিশেষজ্ঞদের মতে, এ ঘটনা একদিকে পুরোনো সফটওয়্যারের নিরাপত্তা দুর্বলতার ঝুঁকি সামনে এনেছে, অন্যদিকে কৃত্রিম বুদ্ধিমত্তার সহায়তায় নতুন ত্রুটি শনাক্ত করার সক্ষমতাও তুলে ধরেছে। বড় ধরনের সাইবার হামলার ঝুঁকি কমাতে তাই নিয়মিত নিরাপত্তা পরীক্ষা, দ্রুত সফটওয়্যার হালনাগাদ এবং সার্ভারের কার্যক্রম পর্যবেক্ষণ জরুরি।

আরএস-রাসেল