ওয়েবসাইট তৈরির জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তাত্রুটি শনাক্ত হয়েছে। এসব দুর্বলতা কাজে লাগিয়ে হ্যাকাররা পাসওয়ার্ড ছাড়াই দূর থেকে সার্ভারে প্রবেশ, তথ্য চুরি কিংবা ক্ষতিকর সফটওয়্যার স্থাপন করতে পারেন। ইন্টারনেটের প্রায় ৭০ শতাংশ ওয়েবসাইট পিএইচপির ওপর নির্ভরশীল হওয়ায় ত্রুটি দুটির সম্ভাব্য প্রভাব নিয়ে উদ্বেগ তৈরি হয়েছে।
প্রযুক্তিবিষয়ক ওয়েবসাইট টেকক্রাঞ্চের প্রতিবেদনে বলা হয়েছে, গত বুধবার ‘পিএইচপি২শেল’ নামে পরিচিত ত্রুটি দুটি প্রকাশ্যে আসে। এগুলোর শনাক্তকরণ নম্বর CVE-2026-109618 ও CVE-2026-109619। দুর্বলতা দুটি সংশোধনে নিরাপত্তা হালনাগাদ প্রকাশ করেছে পিএইচপি ফাউন্ডেশন। তবে যেসব সার্ভারে এখনো আপডেট ইনস্টল করা হয়নি, সেগুলো ঝুঁকিতে থাকতে পারে।
পিএইচপি একটি ওপেন সোর্স প্রোগ্রামিং ভাষা, যা ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশন তৈরিতে ব্যবহৃত হয়। ওয়ার্ডপ্রেস, ড্রুপাল ও জুমলার মতো পরিচিত ওয়েব প্ল্যাটফর্মেও রয়েছে এর ব্যবহার।
প্রতিবেদন অনুযায়ী, ২০২৪ সালে ত্রুটি দুটি প্রথম শনাক্ত হয়েছিল। তবে তখন সেগুলো কাজে লাগানোর কার্যকর পদ্ধতি জানা যায়নি। সম্প্রতি সাইবার নিরাপত্তা গবেষকেরা দুর্বলতা দুটি ব্যবহার করে আক্রমণের কৌশল বের করেন। বিষয়টি পিএইচপি ফাউন্ডেশনকে জানানোর পর সংশোধনী হালনাগাদ প্রকাশ করা হয়।
এ ত্রুটির অন্যতম উদ্বেগের বিষয় হলো, আক্রমণের শিকার হতে ব্যবহারকারীকে কোনো লিংকে ক্লিক করা বা ফাইল খোলার প্রয়োজন হয় না। আক্রান্ত সার্ভারে নিরাপত্তা হালনাগাদ না থাকলে দূর থেকেই সেখানে ক্ষতিকর নির্দেশনা চালানোর সুযোগ তৈরি হতে পারে। সাইবার নিরাপত্তার পরিভাষায় এ ধরনের আক্রমণকে বলা হয় ‘রিমোট কোড এক্সিকিউশন’।
এর মাধ্যমে হ্যাকাররা সার্ভারে ক্ষতিকর সফটওয়্যার স্থাপন, গুরুত্বপূর্ণ তথ্য হাতিয়ে নেওয়া কিংবা ভবিষ্যতে আবার প্রবেশের ব্যবস্থা তৈরি করতে পারেন।
ক্যালিফ নামের একটি প্রতিষ্ঠানের নিরাপত্তা গবেষকেরা পিএইচপির কোড পরীক্ষা করতে গিয়ে দুর্বলতা দুটি শনাক্ত করেন। ওপেনএআই ও ক্লাউড নিরাপত্তা প্রতিষ্ঠান উইজের ‘হ্যাক দ্য প্ল্যানেট’ উদ্যোগের অংশ হিসেবে তাঁরা কাজ করছিলেন। পরে ওপেনএআই ত্রুটি কাজে লাগানোর পরীক্ষামূলক পদ্ধতিগুলো যাচাই করে।
গবেষকদের ভাষ্য অনুযায়ী, ত্রুটি কাজে লাগানোর প্রক্রিয়ায় কৃত্রিম বুদ্ধিমত্তার সহায়তা নেওয়া হয়েছিল। তবে এ কাজে গবেষকদের নিজস্ব দক্ষতা, পিএইচপির কোড সম্পর্কে জ্ঞান এবং অতীতের সাইবার হামলার কৌশল সম্পর্কে ধারণাও গুরুত্বপূর্ণ ভূমিকা রেখেছে।
এদিকে, নিরাপত্তা হালনাগাদ প্রকাশের আগেই ত্রুটি দুটি ব্যবহার করে হামলা চালানো হয়েছিল বলে জানিয়েছে অ্যামাজন। প্রতিষ্ঠানটির পর্যবেক্ষণে ১৭ অক্টোবরের দিকে এ ধরনের কার্যকলাপের ইঙ্গিত পাওয়া যায়। তবে হামলাকারীরা কীভাবে দুর্বলতা সম্পর্কে জানতে পেরেছিলেন, তা নিশ্চিত হওয়া যায়নি।
সাইবার নিরাপত্তা প্রতিষ্ঠান পালো অল্টো নেটওয়ার্কস ও ট্রেইল অব বিটসের তথ্য অনুযায়ী, শুক্রবারের মধ্যে ত্রুটি দুটি কাজে লাগিয়ে অনুপ্রবেশ এবং পরবর্তী ক্ষতিকর কার্যকলাপের প্রমাণ পাওয়া যায়। তবে কোন কোন ব্যবস্থা আক্রান্ত হয়েছে, সে বিষয়ে তখনো নিশ্চিত তথ্য পাওয়া যায়নি।
বিশেষজ্ঞদের আশঙ্কা, ছোট প্রতিষ্ঠান ও ব্যক্তিগতভাবে পরিচালিত ওয়েবসাইটগুলোর ক্ষেত্রে সময়মতো নিরাপত্তা হালনাগাদ না করার কারণে ঝুঁকি দীর্ঘায়িত হতে পারে। শুধু ওয়েব সার্ভারই নয়, বিভিন্ন উন্নয়ন সরঞ্জাম, নেটওয়ার্ক যন্ত্র ও নিরাপত্তা পণ্যেও সংশ্লিষ্ট উপাদান থাকতে পারে।
ওয়েবসাইট ও সার্ভার পরিচালকদের দ্রুত প্রয়োজনীয় নিরাপত্তা পদক্ষেপ নেওয়ার পরামর্শ দেওয়া হয়েছে। গুরুত্বপূর্ণ পদক্ষেপগুলো হলো:
· পিএইচপির সংশ্লিষ্ট নিরাপত্তা হালনাগাদ দ্রুত ইনস্টল করা।
· সার্ভারের লগ পরীক্ষা করে সন্দেহজনক কার্যকলাপ শনাক্ত করা।
· অননুমোদিত প্রবেশ বা ক্ষতিকর নির্দেশনা চালানোর লক্ষণ খুঁজে দেখা।
· পুরোনো সফটওয়্যার ব্যবহারের কারণে সরাসরি আপডেট সম্ভব না হলে বিকল্প নিরাপত্তাব্যবস্থা নেওয়া।
পুরোনো প্রযুক্তিতে থাকা নিরাপত্তা দুর্বলতা যে বড় ধরনের ঝুঁকি তৈরি করতে পারে, এ ঘটনা তা আবার সামনে এনেছে। একই সঙ্গে কৃত্রিম বুদ্ধিমত্তার সাহায্যে সফটওয়্যারের ত্রুটি শনাক্ত ও যাচাই করার সক্ষমতাও আলোচনায় এসেছে। সম্ভাব্য সাইবার হামলা ঠেকাতে তাই নিয়মিত নিরাপত্তা পরীক্ষা এবং দ্রুত সফটওয়্যার হালনাগাদের গুরুত্ব আরও বেড়েছে।
রোববার, ২৫ অক্টোবর ২০২৬
প্রকাশের তারিখ : ২৫ অক্টোবর ২০২৬
ওয়েবসাইট তৈরির জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তাত্রুটি শনাক্ত হয়েছে। এসব দুর্বলতা কাজে লাগিয়ে হ্যাকাররা পাসওয়ার্ড ছাড়াই দূর থেকে সার্ভারে প্রবেশ, তথ্য চুরি কিংবা ক্ষতিকর সফটওয়্যার স্থাপন করতে পারেন। ইন্টারনেটের প্রায় ৭০ শতাংশ ওয়েবসাইট পিএইচপির ওপর নির্ভরশীল হওয়ায় ত্রুটি দুটির সম্ভাব্য প্রভাব নিয়ে উদ্বেগ তৈরি হয়েছে।
প্রযুক্তিবিষয়ক ওয়েবসাইট টেকক্রাঞ্চের প্রতিবেদনে বলা হয়েছে, গত বুধবার ‘পিএইচপি২শেল’ নামে পরিচিত ত্রুটি দুটি প্রকাশ্যে আসে। এগুলোর শনাক্তকরণ নম্বর CVE-2026-109618 ও CVE-2026-109619। দুর্বলতা দুটি সংশোধনে নিরাপত্তা হালনাগাদ প্রকাশ করেছে পিএইচপি ফাউন্ডেশন। তবে যেসব সার্ভারে এখনো আপডেট ইনস্টল করা হয়নি, সেগুলো ঝুঁকিতে থাকতে পারে।
পিএইচপি একটি ওপেন সোর্স প্রোগ্রামিং ভাষা, যা ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশন তৈরিতে ব্যবহৃত হয়। ওয়ার্ডপ্রেস, ড্রুপাল ও জুমলার মতো পরিচিত ওয়েব প্ল্যাটফর্মেও রয়েছে এর ব্যবহার।
প্রতিবেদন অনুযায়ী, ২০২৪ সালে ত্রুটি দুটি প্রথম শনাক্ত হয়েছিল। তবে তখন সেগুলো কাজে লাগানোর কার্যকর পদ্ধতি জানা যায়নি। সম্প্রতি সাইবার নিরাপত্তা গবেষকেরা দুর্বলতা দুটি ব্যবহার করে আক্রমণের কৌশল বের করেন। বিষয়টি পিএইচপি ফাউন্ডেশনকে জানানোর পর সংশোধনী হালনাগাদ প্রকাশ করা হয়।
এ ত্রুটির অন্যতম উদ্বেগের বিষয় হলো, আক্রমণের শিকার হতে ব্যবহারকারীকে কোনো লিংকে ক্লিক করা বা ফাইল খোলার প্রয়োজন হয় না। আক্রান্ত সার্ভারে নিরাপত্তা হালনাগাদ না থাকলে দূর থেকেই সেখানে ক্ষতিকর নির্দেশনা চালানোর সুযোগ তৈরি হতে পারে। সাইবার নিরাপত্তার পরিভাষায় এ ধরনের আক্রমণকে বলা হয় ‘রিমোট কোড এক্সিকিউশন’।
এর মাধ্যমে হ্যাকাররা সার্ভারে ক্ষতিকর সফটওয়্যার স্থাপন, গুরুত্বপূর্ণ তথ্য হাতিয়ে নেওয়া কিংবা ভবিষ্যতে আবার প্রবেশের ব্যবস্থা তৈরি করতে পারেন।
ক্যালিফ নামের একটি প্রতিষ্ঠানের নিরাপত্তা গবেষকেরা পিএইচপির কোড পরীক্ষা করতে গিয়ে দুর্বলতা দুটি শনাক্ত করেন। ওপেনএআই ও ক্লাউড নিরাপত্তা প্রতিষ্ঠান উইজের ‘হ্যাক দ্য প্ল্যানেট’ উদ্যোগের অংশ হিসেবে তাঁরা কাজ করছিলেন। পরে ওপেনএআই ত্রুটি কাজে লাগানোর পরীক্ষামূলক পদ্ধতিগুলো যাচাই করে।
গবেষকদের ভাষ্য অনুযায়ী, ত্রুটি কাজে লাগানোর প্রক্রিয়ায় কৃত্রিম বুদ্ধিমত্তার সহায়তা নেওয়া হয়েছিল। তবে এ কাজে গবেষকদের নিজস্ব দক্ষতা, পিএইচপির কোড সম্পর্কে জ্ঞান এবং অতীতের সাইবার হামলার কৌশল সম্পর্কে ধারণাও গুরুত্বপূর্ণ ভূমিকা রেখেছে।
এদিকে, নিরাপত্তা হালনাগাদ প্রকাশের আগেই ত্রুটি দুটি ব্যবহার করে হামলা চালানো হয়েছিল বলে জানিয়েছে অ্যামাজন। প্রতিষ্ঠানটির পর্যবেক্ষণে ১৭ অক্টোবরের দিকে এ ধরনের কার্যকলাপের ইঙ্গিত পাওয়া যায়। তবে হামলাকারীরা কীভাবে দুর্বলতা সম্পর্কে জানতে পেরেছিলেন, তা নিশ্চিত হওয়া যায়নি।
সাইবার নিরাপত্তা প্রতিষ্ঠান পালো অল্টো নেটওয়ার্কস ও ট্রেইল অব বিটসের তথ্য অনুযায়ী, শুক্রবারের মধ্যে ত্রুটি দুটি কাজে লাগিয়ে অনুপ্রবেশ এবং পরবর্তী ক্ষতিকর কার্যকলাপের প্রমাণ পাওয়া যায়। তবে কোন কোন ব্যবস্থা আক্রান্ত হয়েছে, সে বিষয়ে তখনো নিশ্চিত তথ্য পাওয়া যায়নি।
বিশেষজ্ঞদের আশঙ্কা, ছোট প্রতিষ্ঠান ও ব্যক্তিগতভাবে পরিচালিত ওয়েবসাইটগুলোর ক্ষেত্রে সময়মতো নিরাপত্তা হালনাগাদ না করার কারণে ঝুঁকি দীর্ঘায়িত হতে পারে। শুধু ওয়েব সার্ভারই নয়, বিভিন্ন উন্নয়ন সরঞ্জাম, নেটওয়ার্ক যন্ত্র ও নিরাপত্তা পণ্যেও সংশ্লিষ্ট উপাদান থাকতে পারে।
ওয়েবসাইট ও সার্ভার পরিচালকদের দ্রুত প্রয়োজনীয় নিরাপত্তা পদক্ষেপ নেওয়ার পরামর্শ দেওয়া হয়েছে। গুরুত্বপূর্ণ পদক্ষেপগুলো হলো:
· পিএইচপির সংশ্লিষ্ট নিরাপত্তা হালনাগাদ দ্রুত ইনস্টল করা।
· সার্ভারের লগ পরীক্ষা করে সন্দেহজনক কার্যকলাপ শনাক্ত করা।
· অননুমোদিত প্রবেশ বা ক্ষতিকর নির্দেশনা চালানোর লক্ষণ খুঁজে দেখা।
· পুরোনো সফটওয়্যার ব্যবহারের কারণে সরাসরি আপডেট সম্ভব না হলে বিকল্প নিরাপত্তাব্যবস্থা নেওয়া।
পুরোনো প্রযুক্তিতে থাকা নিরাপত্তা দুর্বলতা যে বড় ধরনের ঝুঁকি তৈরি করতে পারে, এ ঘটনা তা আবার সামনে এনেছে। একই সঙ্গে কৃত্রিম বুদ্ধিমত্তার সাহায্যে সফটওয়্যারের ত্রুটি শনাক্ত ও যাচাই করার সক্ষমতাও আলোচনায় এসেছে। সম্ভাব্য সাইবার হামলা ঠেকাতে তাই নিয়মিত নিরাপত্তা পরীক্ষা এবং দ্রুত সফটওয়্যার হালনাগাদের গুরুত্ব আরও বেড়েছে।
আপনার মতামত লিখুন