সাইবার নিরাপত্তা বিশেষজ্ঞরা ওয়েবসাইট অপারেটরদের—এবং ওয়েবের মাধ্যমে ক্রিপ্টো সেবা ব্যবহারকারীদের—অনুরোধ করছেন যে জরুরি প্যাচ প্রকাশের পরেও PHP-সংশ্লিষ্ট দুর্বলতাগুলিকে সম্প্রতি একটি সক্রিয় ঝুঁকি হিসেবে বিবেচনা করুন। ইমিউনেফির সিইও মিটশেল আমাডোর বলেছেন যে অনেক ছোট ওয়েবসাইট স্বতন্ত্রভাবে আপডেট প্রয়োগ করতে সপ্তাহের প্রয়োজন হতে পারে, যার ফলে ব্যবহারকারীদের মূল প্রকাশের সময়সীমার চেয়ে দীর্ঘসময়ের জন্য ঝুঁকিতে পড়তে হচ্ছে।
অমাদরের সতর্কবার্তা কয়েকদিন পরে আসে, যখন PHP ফাউন্ডেশন এটি স্বীকার করে যে এটি ২০২৪ সালে প্রথম শনাক্ত একটি গুরুতর ত্রুটি ঠিক করতে বিলম্ব করেছে, যার কারণ হিসাবে সম্পদের অভাব উল্লেখ করেছে। দুটি গুরুতর ভাইরাসের জন্য একই দিনে আপতকালীন প্যাচ প্রকাশিত হলেও, তাদের ইনস্টলেশন আপগ্রেড করার দায়িত্ব এখনও ব্যক্তিগতওয়েবসাইটগুলির উপর নির্ভর করে।
প্রধান পাওয়া কথা
- ইমিউনেফির সিইও মিটচেল আমাডোর বলেছেন যে পরবর্তী কয়েক সপ্তাহের জন্য ব্যবহারকারীদের ধরে নিতে হবে যে যেকোনো সাইটে লগ ইন করলে তা দখলদারির শিকার হতে পারে।
- জরুরি PHP প্যাচ উপলব্ধ থাকলেও, ওয়েবসাইটগুলিকে এখনও নিজেদের আপগ্রেড করতে হবে—ছোট অপারেটরদের ক্ষেত্রে সপ্তাহের পর সপ্তাহ দেরি হতে পারে।
- আমাদর ব্যবহারকারীদের পাসওয়ার্ড পুনরায় ব্যবহার না করার এবং ওয়েবসাইটগুলিতে ক্রিপ্টোকারেন্সি ওয়ালেট সংযোগ করার সময় সতর্কতা অবলম্বনের পরামর্শ দিয়েছেন।
- তিনি সম্ভাব্য ক্ষতিকারক কার্যকলাপের প্রভাব কমানোর জন্য ব্যবহারকারীদের যে টোকেন অনুমতি চেনেন না, তা বাতিল করার পরামর্শ দিয়েছেন।
- সার্বজনীন প্রকাশের পর অনেকগুলি পক্ষ দ্রুত দুর্বলতা শোষণের কার্যকলাপ রিপোর্ট করেছে, যার মধ্যে ২৪ ঘন্টার মধ্যে মিলিয়ন মিলিয়ন চেষ্টার রিপোর্ট অন্তর্ভুক্ত।
কেন পিএইচপি আপডেটগুলি যথেষ্ট দ্রুত আসতে পারে না
আমাদোর এই পরিস্থিতিকে আধুনিক নিরাপত্তার একটি পুনরাবৃত্ত প্যাটার্ন হিসেবে বর্ণনা করেন: দুর্বলতাগুলি দ্রুত শনাক্ত করা যায়, কিন্তু সমাধান প্রায়শই ধীরে এবং বেশি খরচে হয়—বিশেষ করে ছোট ওয়েব সম্পত্তির দীর্ঘ লেজের জন্য। “এটি হল দুর্বলতার আপোক্যালিপস,” আমাদোর Cointelegraphকে বলেন, যুক্তি দিয়েছেন যে প্রকাশ এবং ব্যাপকভাবে প্যাচ গ্রহণের মধ্যে সময়ের ব্যবধানই হল প্রকৃত ক্ষতির ঘটনা।
ব্যবহারিক পরিপ্রেক্ষিতে, তাঁর পরামর্শটি সেই ব্যবহারকারীদের জন্য যারা এখনও তাদের PHP সংস্করণ আপগ্রেড করেননি এমন ওয়েবসাইটের সাথে মিথস্ক্রিয়া করতে পারেন। “পরবর্তী কয়েক সপ্তাহের জন্য, আপনি যেকোনো ওয়েবসাইটে লগইন করুন, যেন তা ইতিমধ্যেই দূষিত হয়ে গেছে,” তিনি বলেন। ক্রিপ্টো ব্যবহারকারীদের জন্য, এটি ওয়ালেট সংযোগের প্রতি বৃদ্ধি পাওয়া সতর্কতা অর্থাৎ, ক্ষতিকারক ওয়েবসাইটগুলি ব্যবহারকারীদের টোকেন অনুমতি অনুমোদন করতে বা ক্ষতিকারক চুক্তিগুলির সাথে মিথস্ক্রিয়ায় জড়িয়ে ফেলার চেষ্টা করতে পারে।
আমাদর আরও জোর দিয়ে বলেন যে একটি ওয়েবসাইট কম্প্রোমাইজ হলে ডাউনস্ট্রিম ক্ষতি কমানোর জন্য বেসিক স্বাস্থ্যসম্মত ব্যবস্থা অনুসরণ করা উচিত, যার মধ্যে পাসওয়ার্ড পুনরায় ব্যবহার এড়ানো এবং অপরিচিত টোকেন অনুমোদনগুলি বাতিল করা অন্তর্ভুক্ত।
PHP ফাউন্ডেশনের দেরি এবং জরুরি প্যাচ
Cointelegraph আগে জানিয়েছিল যে PHP ফাউন্ডেশন স্বীকার করেছে যে ২০২৪ সালে প্রথম শনাক্ত একটি গুরুতর সিকিউরিটি ফ্লো ঠিক করতে বিলম্ব করেছে সম্পদের অভাবের কারণে। একই রিপোর্টটি উল্লেখ করে যে ডেভেলপাররা জরুরি রিলিজের দিনে দুটি গুরুতর ভালনারেবিলিটির জন্য জরুরি প্যাচ জারি করেছিল, কিন্তু মূল সমস্যাটি দূর করেনি: প্রতিটি ওয়েবসাইট এখনও তাদের নিজস্ব পরিবেশটি আপডেট করতে হবে।
এই পার্থক্যটি ঝুঁকি ব্যবস্থাপনার জন্য গুরুত্বপূর্ণ। একটি প্যাচ রিলিজ অবশ্যই ইন্টারনেটজুড়ে তাৎক্ষণিক সুরক্ষা নিশ্চিত করে না, এবং যারা “প্যাচ করা” মানে “সবজায়গায়” বলে ধরে নেন, তারা কতক্ষণ পর্যন্ত দুর্বলতার দুর্বলতা বজায় থাকতে পারে তা অনুমান করতে পারেন না—বিশেষ করে যেসব সাইট শেয়ারড হোস্টিংয়ের উপর নির্ভরশীল বা কম প্রায়ই আপডেটের চক্র রাখে।
কয়েনটেলিগ্রাফের আগের কভারেজেও আমাদোরকে উপদেশ দিতে দেখা গিয়েছিল যে, সাইবার নিরাপত্তার দৃশ্যপটের পরিবর্তন এই চক্রগুলিকে আরও বিপজ্জনক করে তুলছে। জুনের একটি সাক্ষাত্কারে, তিনি “দুর্বলতার প্রলয়” শব্দটিকে পরিবর্তিত আক্রমণকারীর ক্ষমতা এবং একটি ব্যাপক নিরাপত্তা প্রতিযোগিতার সাথে সংযুক্ত করেছিলেন, যা আবিষ্কার-থেকে-দুর্বলতা-পথকে ত্বরান্বিত করে, যা DeFi হ্যাকসহ উচ্চ-প্রোফাইল ঘটনাগুলির সাথে অবদান রাখে।
প্রকাশের অল্প সময়ের মধ্যেই দুর্বলতা দিয়ে আক্রমণের চেষ্টা রিপোর্ট করা হয়েছে
আমাদোরের সতর্কবাণীর পেছনের জরুরিতা দ্রুতগতির দুর্বলতা দিয়ে সমর্থিত। কয়েনটেলিগ্রাফ সূত্রে Cloudflare-এর সিইও ম্যাথিউ প্রিন্সকে উদ্ধৃত করে বলেছে যে, PHP-এর দুর্বলতাগুলি প্রকাশ্যে আসার ২৪ ঘন্টার মধ্যে নেটওয়ার্কটি “মিলিয়ন মিলিয়ন দুর্বলতা পরীক্ষার চেষ্টা” দেখেছে, যা প্রিন্সের নামে চিহ্নিত একটি বৃহস্পতিবার X পোস্টে উল্লেখ করা হয়েছে। তিনি আরও উল্লেখ করেছেন যে, প্রকাশ্যে প্রকাশের আগেই হাজার হাজার চেষ্টা হয়েছিল।
এটি গুরুত্বপূর্ণ কারণ PHP এখনও প্রচুর পরিমাণে ব্যবহার করা হয়। Cloudflare-এর তথ্য অনুযায়ী, বিশ্বব্যাপী প্রতি পাঁচটি ওয়েবসাইটের মধ্যে একটি Cloudflare-এর ইনফ্রাস্ট্রাকচারের মাধ্যমে ট্রাফিক রুট করে, যা কোম্পানিটি বলে যে ব্যবহারকারীদের সুরক্ষা এবং সাইটের ডেলিভারি গতি বাড়াতে সাহায্য করে। অন্যদিকে, W3Techs-এর অনুমান অনুযায়ী, PHP একটি পরিচিত সার্ভার-সাইড প্রোগ্রামিং ভাষা ব্যবহার করে এমন প্রায় 69% ওয়েবসাইটকে চালিত করে, যা ইঙ্গিত করে যে যদি দুর্বলতা দূরবর্তী কমপ্রোমাইজ, ম্যালওয়্যার বিতরণ বা ক্ষতিকর কোড ইনজেকশনের সুযোগ করে দেয়, তবে এর বিস্ফোরণের ব্যাপ্তি অত্যন্ত বড়।
এই চিন্তাগুলি এফবিআইয়ের সাইবার বিভাগ দ্বারা পুনরাবৃত্তি করা হয়েছিল। একটি বুধবারের এক্স পোস্টে, বিভাগটি সতর্ক করেছে যে এই ত্রুটিগুলি দুষ্টু পক্ষকে “PHP কোরে দূরবর্তীভাবে কোড বাস্তবায়নের” অনুমতি দিতে পারে, যার ফলে সংবেদনশীল ডেটা এবং নেটওয়ার্কগুলি দখলদারির সম্ভাবনা রয়েছে।
ব্যবহারকারী এবং অপারেটরদের পরবর্তী কী করা উচিত
আগামী দিনগুলিতে মূল অনিশ্চয়তা হল প্যাচগুলি বিদ্যমান কিনা না, বরং ব্যবহারিকভাবে সাইটগুলি কত দ্রুত আপগ্রেড করা হয়। আমাডরের পরামর্শ ব্যবহারকারীদের এই ব্যবধানটি পূরণ করতে অনুরোধ করে, যেমন ধরে নেওয়া হয় যে কমপ্রোমাইজ সম্ভব—এমনকি যদি যেকোনো সময় শুধুমাত্র কিছুটা ওয়েবসাইটই আসলে ভায়াবল হয়।
ওয়েবসাইট অপারেটরদের জন্য, প্রাথমিক অগ্রাধিকার হল পিএইচপি আপডেট করা এবং হোস্টিং পরিবেশগুলির এই আপগ্রেডগুলি বাস্তবায়ন করা। ক্রিপ্টো ব্যবহারকারীদের জন্য, আমাদরের মন্তব্যগুলি ওয়ালেট সংযোগের ক্ষেত্রে একটি সাবধানী দৃষ্টিভঙ্গি গ্রহণের পরামর্শ দেয়: ঝুঁকিপূর্ণ বা অপরিচিত ওয়েবপৃষ্ঠাগুলির সাথে যোগাযোগ এড়িয়ে চলুন, এবং টোকেন অনুমতি পর্যালোচনা করুন যাতে যা পরিষ্কারভাবে প্রয়োজনীয় বা চিনতে পারা যায় না, তা বাতিল করা যায়।
যেহেতু দুর্বলতা প্রকাশের সময় সাধারণত দুর্নীতি অভিযানগুলি ত্বরান্বিত হয় এবং প্যাচ কভারেজ উন্নত হওয়ার সাথে সাথে এটি কমে যায়, পাঠকদের জন্য পরবর্তী পর্যবেক্ষণের বিষয় হল হোস্টিং প্রদানকারী এবং ব্যক্তিগত সাইটগুলিতে PHP আপগ্রেড গ্রহণের গতি—বিশেষ করে ছোট ওয়েব সম্পত্তি, যেগুলি আপডেট করতে বেশি সময় নেয় এবং তাই প্রকাশের সময়কালের অংশ হয়ে থাকার সম্ভাবনা সবচেয়ে বেশি।
এই নিবন্ধটি মূলত Immunefi সিইও: PHP ত্রুটি বাড়তে থাকা এআই নিরাপত্তা ঝুঁকির পুনরায় প্রমাণ করে শিরোনামে Crypto Breaking News-এ প্রকাশিত হয়েছিল – আপনার জন্য ক্রিপ্টো সংবাদ, বিটকয়েন সংবাদ এবং ব্লকচেইন আপডেটের জন্য বিশ্বস্ত উৎস।