সংক্ষেপে মূল তথ্য
- বিশ্বের কোটি কোটি ওয়েবসাইটের ভিত্তি পিএইচপিতে ধরা পড়েছে দুটি গুরুতর ত্রুটি, যার নাম দেওয়া হয়েছে পিএইচপিটুশেল।
- লগইন ছাড়াই সার্ভারের নিয়ন্ত্রণ নেওয়া যেতে পারে এই ত্রুটি কাজে লাগিয়ে।
- জরুরি প্যাচ ছেড়েছে পিএইচপি কর্তৃপক্ষ, সারা বিশ্বে সতর্কতা জারি করেছে সাইবার নিরাপত্তা সংস্থাগুলো।
বিশ্বের কোটি কোটি ওয়েবসাইটের প্রাণ যে প্রোগ্রামিং ভাষা, সেই পিএইচপিতে ধরা পড়েছে দুটি ভয়ংকর নিরাপত্তা ত্রুটি। গবেষকেরা এর নাম দিয়েছেন পিএইচপিটুশেল। এই ত্রুটি কাজে লাগিয়ে হ্যাকাররা কোনো লগইন বা পাসওয়ার্ড ছাড়াই দূর থেকে একটি ওয়েবসাইটের সার্ভারে নিজেদের নির্দেশ চালাতে পারে, এমনকি পুরো সার্ভারের নিয়ন্ত্রণও নিয়ে নিতে পারে। বুধবার (২১ অক্টোবর) ত্রুটি দুটি প্রকাশ্যে আসার পর জরুরি ভিত্তিতে নিরাপত্তা হালনাগাদ ছেড়েছে পিএইচপি কর্তৃপক্ষ। আতঙ্কে নেদারল্যান্ডস, ফ্রান্স, জার্মানিসহ কয়েকটি দেশের সরকারি ওয়েবসাইট সাময়িকভাবে বন্ধ করে দেওয়া হয়েছে, আর বাংলাদেশের সরকারি সাইবার ঘটনা মোকাবিলা দল বিজিডি ই-গভ সার্টও উচ্চ সতর্কতা জারি করেছে।
সাধারণ পাঠকের জন্য সহজ করে বললে, পিএইচপি হলো ওয়েবসাইট তৈরির সবচেয়ে বেশি ব্যবহৃত প্রোগ্রামিং ভাষাগুলোর একটি। প্রযুক্তি পরিসংখ্যান সংস্থা ডব্লিউথ্রিটেকসের হিসাবে, যেসব ওয়েবসাইটের সার্ভার প্রযুক্তি জানা যায়, তাদের প্রায় ৬৯ শতাংশই চলে পিএইচপিতে। ওয়ার্ডপ্রেস, জুমলা, দ্রুপালের মতো জনপ্রিয় সাইট তৈরির প্ল্যাটফর্ম আর লারাভেলের মতো ফ্রেমওয়ার্ক সবই পিএইচপির ওপর দাঁড়িয়ে। শুধু ওয়ার্ডপ্রেস দিয়েই তৈরি হয়েছে বিশ্বের সব ওয়েবসাইটের প্রায় ৪০ শতাংশ। অর্থাৎ এই ত্রুটি কোনো একটি সাইট বা অ্যাপের সমস্যা নয়, সমস্যাটি খোদ পিএইচপির ভেতরের কারিগরি গঠনে। ফলে কোনো সাইটের নিজের সফটওয়্যার হালনাগাদ থাকলেও পিএইচপি পুরোনো সংস্করণে চললে সেটি ঝুঁকিমুক্ত নয়।
ত্রুটি দুটির আনুষ্ঠানিক নম্বর সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯। দুটিই পিএইচপির মেমোরি ব্যবস্থাপনার ভেতরের ত্রুটি, আর ঝুঁকির মাপকাঠি সিভিএসএস স্কেলে দুটিরই স্কোর ১০ এর মধ্যে ৯.২, যা সর্বোচ্চ সতর্কতার পর্যায়ে পড়ে। প্রথম ত্রুটিটি জড়িত সার্ভারের মেমোরি ফুরিয়ে যাওয়ার পরিস্থিতি সামলানোর পদ্ধতির সঙ্গে, ওই মুহূর্তে পিএইচপির ভেতরের তথ্য অসুরক্ষিত অবস্থায় থেকে যায়। দ্বিতীয় ত্রুটিতে কোনো অনুরোধের অভ্যন্তরীণ তথ্য মেমোরি খালি হয়ে যাওয়ার পরও থেকে যায়, পরে যা গোলমাল পাকাতে পারে। শুনতে জটিল মনে হলেও ফলাফল সহজ ভাষায় একটাই, বাইরে থেকে কেউ সার্ভারে নিজের কোড চালিয়ে দিতে পারে। আরও উদ্বেগের দিক হলো, দ্বিতীয় ত্রুটি কাজে লাগিয়ে সার্ভারের মেমোরিতে থাকা তথ্যও পড়ে ফেলা সম্ভব, যার মধ্যে থাকতে পারে পাসওয়ার্ড, লগইনের গোপন টোকেন আর এপিআই চাবি।
সবচেয়ে চমকপ্রদ তথ্য হলো, এই ত্রুটি লুকিয়ে ছিল এক দশকের বেশি সময় ধরে। গবেষকদের হিসাবে, ২০১২ সালে বের হওয়া পিএইচপি ৫.৪ সংস্করণ থেকে শুরু করে হালনাগাদের আগের প্রায় সব সংস্করণেই ত্রুটিটি ছিল। জরুরি হালনাগাদ হিসেবে ছাড়া হয়েছে পিএইচপি ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ ও ৮.২.৩৫ সংস্করণ। অর্থাৎ আনুষ্ঠানিক সমাধান এসেছে শুধু ৮.২ ও তার পরের শাখাগুলোর জন্য। এর চেয়ে পুরোনো সংস্করণ যারা চালাচ্ছেন, তাদের হোস্টিং বা সফটওয়্যার সরবরাহকারীর আলাদা প্যাচের ওপর নির্ভর করতে হবে, অথবা সরাসরি নতুন সংস্করণে যেতে হবে।
এই আবিষ্কারের পেছনে রয়েছে কৃত্রিম বুদ্ধিমত্তার বড় ভূমিকা, যা নিয়ে সাইবার জগতে আলোচনা এখন তুঙ্গে। মার্কিন সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ ওপেনএআইয়ের শক্তিশালী মডেল জিপিটি-৫.৬ সলের সহায়তায় আগস্টে প্রথম ত্রুটিটি শনাক্ত করে, তখন তারা ওপেনএআইয়ের প্যাচ দ্য প্ল্যানেট কর্মসূচির আওতায় পিএইচপির কোড পরীক্ষা করছিল। একই সময়ে গুগলের মালিকানাধীন নিরাপত্তা প্রতিষ্ঠান উইজ স্বাধীনভাবে দুটি ত্রুটিই খুঁজে পায়, তাদের গবেষণায় ব্যবহৃত হয় গুগলের জেমিনি ৪ আর্গন, ওপেনএআইয়ের জিপিটি-৫.৬ সল ও নিজেদের তৈরি উইজ অ্যাটলাস টুল। উইজের গবেষকদের মতে, এআইয়ের সহায়তায় একজন গবেষক এক সপ্তাহে সেই কাজ করে ফেলেছেন, যা করতে আগে বিশ্বমানের একটি পুরো দলের মাসের পর মাস লেগে যেত। বিশেষজ্ঞরা বলছেন, এর মধ্য দিয়ে পরিষ্কার হয়ে গেছে, ত্রুটি খোঁজার কাজে সুরক্ষাকর্মীদের পাশাপাশি আক্রমণকারীদের হাতেও এআই এখন শক্তিশালী হাতিয়ার।
ত্রুটি প্রকাশের আগেই আক্রমণের চেষ্টা শুরু হয়ে গিয়েছিল বলে জানিয়েছে প্রযুক্তি প্রতিষ্ঠানগুলো। অ্যামাজনের থ্রেট ইন্টেলিজেন্স দল ১৭ অক্টোবরই প্রথম আক্রমণের চেষ্টা লক্ষ করে, আর ইন্টারনেট অবকাঠামো প্রতিষ্ঠান ক্লাউডফ্লেয়ার জানিয়েছে, তারা হাজার হাজার আক্রমণের চেষ্টা দেখেছে। পরিস্থিতির গুরুত্ব বুঝে ভারতের কম্পিউটার ইমার্জেন্সি রেসপন্স দল সার্ট-ইন এই ত্রুটিকে ক্রিটিক্যাল ঘোষণা করে জরুরি নোট জারি করেছে। যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার বলেছে, যেসব সিস্টেম এখনই হালনাগাদ করা যাচ্ছে না, সেগুলো প্রয়োজনে ইন্টারনেট থেকে বিচ্ছিন্ন বা বন্ধ করে রাখতে হবে। যুক্তরাষ্ট্রের সাইবার নিরাপত্তা সংস্থা সিসাও জরুরি ভিত্তিতে প্যাচ বসানোর আহ্বান জানিয়েছে। সতর্কতা হিসেবে ডাচ সরকারি সেবা ডিজিআইডি, নেদারল্যান্ডসের সংসদ, ফিনল্যান্ডের কেন্দ্রীয় সরকারসহ ইউরোপের বেশ কয়েকটি সরকারি ওয়েবসাইট কিছু সময়ের জন্য বন্ধ রাখা হয়।
ওয়েবসাইট মালিক ও প্রশাসকদের জন্য পরামর্শ একটাই, দেরি না করে পিএইচপি হালনাগাদ করুন। যারা শেয়ার্ড হোস্টিং ব্যবহার করেন, তাদের নিজে হাতে করার সুযোগ কম, হোস্টিং কোম্পানির কাছে জেনে নিন তারা প্যাচ বসিয়েছে কি না। শুধু ওয়ার্ডপ্রেস বা নিজের সাইটের সফটওয়্যার আপডেট করলেই হবে না, কারণ ত্রুটি ওয়েবসাইটের সফটওয়্যারে নয়, পিএইচপিতেই। পিএইচপি কর্তৃপক্ষ স্পষ্ট করে বলেছে, হালনাগাদ করাই একমাত্র পূর্ণ সমাধান, অন্য কোনো উপায়ে আংশিক সুরক্ষা মিললেও ঝুঁকি পুরোপুরি যায় না। হালনাগাদের পরও সার্ভারে অস্বাভাবিক কোনো ফাইল বা কার্যকলাপ আছে কি না, তা খতিয়ে দেখতে বলেছেন নিরাপত্তা বিশেষজ্ঞরা, কারণ প্যাচ বসালেই আগের কোনো অনুপ্রবেশ মুছে যায় না।
বাংলাদেশেও অসংখ্য সরকারি পোর্টাল, ব্যাংক, ই-কমার্স সাইট ও সংবাদমাধ্যম পিএইচপি দিয়ে তৈরি, তাই এই সতর্কতা এখানকার সাইট পরিচালকদের জন্যও সমানভাবে প্রযোজ্য। এখন চলছে এক ধরনের দৌড়, একদিকে সাইট পরিচালকরা কে আগে প্যাচ বসাতে পারেন, অন্যদিকে হ্যাকাররা কে আগে ত্রুটি কাজে লাগাতে পারে। এই দৌড়ে পিছিয়ে পড়ার মূল্য হতে পারে পুরো সার্ভারের নিয়ন্ত্রণ হারানো আর ব্যবহারকারীদের তথ্য ফাঁস হয়ে যাওয়া। তাই বিশেষজ্ঞদের পরামর্শ, প্যাচের কাজ আগামীকালের জন্য ফেলে রাখবেন না।
