বুধবার, দুটি ভাইরাস যা বছর খানেক ধরে নিষ্ক্রিয় ছিল, তাদের ব্যবহারের উপায় গবেষকদের দ্বারা সম্প্রতি খুঁজে পাওয়ায়, দশকের পুরনো ওপেন-সোর্স ওয়েব প্রযুক্তি PHP প্রায় ইন্টারনেটকে বন্ধ করে দিয়েছিল।
এই দুটি দুর্বলতাকে PHP2Shell বলা হয়, যাদের অফিসিয়াল নম্বর হলো CVE-2026-109618 এবং CVE-2026-109619। সহজ ভাষায়, এই দুর্বলতাগুলি যেকোনো ব্যক্তিকে পাসওয়ার্ড ছাড়াই PHP-চালিত অনলাইন সিস্টেম—যেমন ওয়েবসাইট বা ইন্টারনেট-সংযুক্ত সার্ভার—এ প্রবেশ করতে, এবং সেখানের ডেটা অ্যাক্সেস বা পরিবর্তন করতে সক্ষম করে।
ঘটনাটির গুরুত্ব বিবেচনা করে, এই ঘটনাটি প্রায় বিশ্বব্যাপী কোটি কোটি মানুষকে দুষ্টু হ্যাকারদের দ্বারা ব্যবহারের আগেই সিস্টেমের জন্য প্যাচ প্রয়োগের জন্য জরুরি ভাবে প্রস্তুত হতে বাধ্য করেছিল।
PHP ফাউন্ডেশন বুধবার পিএইচপি ওয়েব সফটওয়্যারের জন্য একটি প্যাচ প্রকাশ করেছে, যা ইনস্টল করলে ওয়েব-সংযুক্ত সার্ভারগুলিকে আক্রমণ থেকে বাঁচাতে পারে। এই ফাউন্ডেশনটি আগে থেকেই PHP-এর উপর নির্ভরশীল কিছু বৃহত্তম ইন্টারনেট কোম্পানি এবংওয়েব হোস্টিং প্রদানকারীদের প্যাচের আগের অ্যাক্সেস দিয়েছিল।
কয়েক সপ্তাহ ধরে পিছনের যোগাযোগ এবং শিল্পের মধ্যে সতর্ক সমন্বয়ের ফলে, বিশ্বব্যাপী এখনও বড় পরিসরে ইন্টারনেটের দুর্ব্যবহার এড়ানো হয়েছে। বুধবার থেকে, বিভিন্ন সরকারগুলি নাগরিকদের এবংওয়েবসাইট থাকা কোম্পানিগুলিকে তাদের ঝুঁকি কমানোর জন্য কাজ শুরু করতে উৎসাহিত করছে। ব্যাংক, খুচরা বিক্রেতারা, গেমিং ওয়েবসাইট, অনলাইন দোকান, হাসপাতাল এবং কিছু সরকারি প্রতিষ্ঠান আক্রমণ থেকে বাঁচতে তাদের সার্ভারগুলি বন্ধ করেছে।
কিন্তু সুরক্ষা গবেষকদের সতর্কবাণী, বিষয়টি এখনও শেষ হয়নি, বিশ্বব্যাপী অসংখ্য সিস্টেম এখনও প্যাচ করা হয়নি এবং হ্যাক ও ডেটা চুরির জন্য সহজেই আক্রমণযোগ্য।
এটি সম্ভবত শেষ বড় ইন্টারনেট সফটওয়্যার সংকটও হবে না। কিছু বিশেষজ্ঞ মনে করেন, কৃত্রিম বুদ্ধিমত্তার উত্থান দ্রুত আরও অনেক অপরিচিত, খোঁজা এবং দুর্ব্যবহারের জন্য অপেক্ষারত দুর্বলতা শনাক্ত করবে।
কী ঘটেছে?
ক্যালিফোর্নিয়ার সিকিউরিটি গবেষকদের দ্বারা PHP-তে দুটি ভালোবাসা আবিষ্কৃত হয়েছে। PHP হল একটি প্রোগ্রামিং ভাষা যা বিশ্বব্যাপী ওয়েবসাইট এবং ওয়েব অ্যাপ্লিকেশন তৈরির জন্য ব্যবহৃত হয়, যা ইন্টারনেটের পাশাপাশি ইন্ট্রানেট এবং অভ্যন্তরীণ ওয়েবসাইটের মতো কোম্পানির নেটওয়ার্কে স্থানীয়ভাবে হোস্ট করা সিস্টেমেও ব্যবহৃত হয়।
এই দুটি দুর্বলতা ২০২৪ সালে প্রথম আবিষ্কৃত হয়, কিন্তু তখন এগুলিকে ব্যবহারযোগ্য বলে মনে করা হয়নি, তাই এগুলি ঠিক করা হয়নি। সাম্প্রতিককালে সুরক্ষা গবেষকরা এগুলি ব্যবহার করার উপায় খুঁজে পেয়েছেন এবং সফটওয়্যার ডেভেলপারদের শীঘ্রই এগুলি ঠিক করার জন্য সতর্ক করেছেন।
ক্যালিফ পিএইচপি ফাউন্ডেশনকে জানায়, যার ফলে ফাউন্ডেশন ভাল্ট সংশোধন শুরু করে এবং প্রকাশ সমন্বয় করে। ফাউন্ডেশনটি নির্দিষ্ট সময়সীমার আগে গোপনীয়তা বজায় রেখে সংশ্লিষ্ট তথ্য এবং প্যাচ প্রদান করে বড় কোম্পানিগুলিকে প্যাচ ইনস্টল করার জন্য আগে সুযোগ দেয়।
এই গুরুতর দুর্বলতাগুলি কেন এত গুরুতর?
PHP2Shell গুরুতর কারণ এটি ইন্টারনেটের মাধ্যমে দূরবর্তীভাবে দুর্ব্যবহার করা যায়, এবং পীড়িতদের কোনো লিঙ্কে ক্লিক করা বা ফাইল খোলা দরকার হয় না। এটিকে দূরবর্তী কোড বাস্তবায়ন বলা হয়, যা সবচেয়ে ধ্বংসাত্মক ভাঙনের মধ্যে একটি, কারণ এগুলি বিশ্বের যেকোনো জায়গা থেকে হ্যাকারদের প্রভাবিত এবং আপডেট-হীন সিস্টেমগুলিকে প্রায় সম্পূর্ণভাবে নিয়ন্ত্রণ করতে দেয়।
এর চেয়েও খারাপ হলো, এই নির্দিষ্ট PHP দুর্বলতাগুলি আক্রমণকারীদের কোনও পাসওয়ার্ড বা অন্য কোনও যাচাইকরণের প্রয়োজন ছাড়াই ইন্টারনেটের মাধ্যমে কোনও প্যাচ করা হয়নি সিস্টেমে প্রবেশ করতে দেয়, যাকে অনাথিকৃত অ্যাক্সেস বলা হয়।
এটি দুষ্টু হ্যাকারদের কম্পিউটারে ম্যালওয়্যার স্থাপন করতে দেবে, যেমন ডেটা চুরি করা, অথবা ভবিষ্যতে আবার ফিরে আসার জন্য একটি দীর্ঘমেয়াদী পদক্ষেপ রাখা।
কেন 70% ওয়েবপেজ প্রভাবিত হচ্ছে?
PHP হল অসংখ্য পুরনো কিন্তু এখনও কার্যকরী প্রযুক্তির মধ্যে একটি, যেগুলি ইন্টারনেটের বহু প্রজন্মের বিকাশ ও পরিবর্তনের মধ্যে দিয়ে এসেছে এবং এখন প্রায় ইন্টারনেটের বেশিরভাগ কার্যক্রমকে সমর্থন করে যেন একটি চিপ। অনেকসময়, এই টুলগুলি ওপেন-সোর্স মেইনটেইনারদের দ্বারা তৈরি হয়, যারা এই কাজের জন্য কোনও প্রতিদান পান না, তাই তৃতীয় পক্ষের নিরাপত্তা অডিটের জন্য অর্থ ব্যয় করতেও পারেন না—কিন্তু ব্যবসাগুলি এই প্রকল্পগুলির উপর ব্যাপকভাবে নির্ভরশীল, তবুও এগুলির জন্য অর্থায়নের কোনও সমর্থন দেয় না।
Are these vulnerabilities discovered by artificial intelligence?
Calif এই ভাঙ্গনগুলি ফিলিপিনো কোডের নিরাপত্তা অডিটের সময় এই বছরের শুরুতে আবিষ্কার করার জন্য স্বীকৃতি পেয়েছে। Calif, OpenAI এবং ক্লাউড সিকিউরিটি বিগ হুইজের দ্বারা শুরু করা "Hack the Planet" প্রোগ্রামে অংশগ্রহণ করেছিল, যা পরবর্তীতে Calif-এর দ্বারা তৈরি কনসেপ্ট-ভালিডেশন এক্সপ্লয়িট কোডটি যাচাই করেছিল।
ক্যালিফের বর্ণনামূলক নিবন্ধে (যার সাথে কমিক আছে—অসাধারণ, দেখার মতো), গবেষকরা ব্যাখ্যা করেন যে এই দুর্বলতা উপযোগী করার জন্য কৃত্রিম বুদ্ধিমত্তা ব্যবহার করা হয়েছিল, কিন্তু বেশিরভাগ কাজ এখনও গবেষকদের পূর্ববর্তী জ্ঞান এবং তাদের PHP কোডবেস এবং দুর্বলতা উপযোগীকরণের ইতিহাসের পরিচয়ের উপর নির্ভর করেছিল।
ক্যালিফ লিখেছেন: “কোনও মডেল শুধুমাত্র সাধারণ প্রম্পট দিয়ে এখনও ‘সমস্ত ভাঙ্গন’ খুঁজে পাবে না।”
এই ভাঙ্গনগুলি প্রকাশের আগেই কেন ব্যবহার করা হয়েছিল?
যদিও সকলে বুধবার পর্যন্ত দুর্বলতার বিস্তারিত গোপন রাখার জন্য প্রচুর প্রয়াস করেছিল, তবুও প্যাচ প্রকাশের আগেই PHP2Shell-এর কিছু ব্যবহার দেখা গেছে।
বিশাল পরিসর এবং অত্যন্ত দৃশ্যমানতার কারণে, অ্যামাজন অনলাইন হুমকির প্রতি বিশাল দৃষ্টিভঙ্গি রাখে। কোম্পানিটি একটি ব্লগ পোস্টে বলেছে যে এটি PHP প্যাচ প্রকাশের প্রায় এক সপ্তাহ আগেই PHP2Shell-এর ব্যবহারের লক্ষণগুলি শনাক্ত করেছিল, যা নির্দেশ করে যে কোথাও কেউ দুর্বলতার বিস্তারিত বিশদভাবে প্রকাশিত হওয়ার আগেই এগুলির ব্যবহার জানত। অ্যামাজন বলেছে, হ্যাকারদের এই দুর্বলতাগুলির কথা কিভাবে জানা গেল, তা এখনও অজানা, কিন্তু প্রতিরোধকদের ১৭ অক্টোবরের দিকে ফিরে যেতে হবে।
ঘটনাটির বিবরণ নিয়ে বিভিন্ন মতামত রয়েছে। যখন ভেদনযোগ্যতা মেরামত করা হয়, তখন প্যাচের বিস্তারিত তাৎক্ষণিকভাবে পরিষ্কার হয়ে যেতে পারে, বিশেষ করে PHP-এর মতো ওপেন-সোর্স কোডে, যেখানে যেকোনো কেউ প্রকাশ্যে দেখতে পায়। এই ভেদনযোগ্যতাগুলির দুর্বলতা ব্যবহার করা সহজ নাও হতে পারে, তবে ভেদনযোগ্যতাটি কোথায় এবং এটি কীভাবে মেরামত করা হয়েছে তা জানা, খারাপ হ্যাকারদের লক্ষ্য নির্ধারণ এবং এক্সপ্লয়ট কোড বিকাশের জন্য সহায়তা করতে পারে।
এটি সম্ভব যে নিষেধাজ্ঞার সময়কালে কোথাও তথ্য প্রবাহিত হয়েছে বা যোগাযোগ বিচ্ছিন্ন হয়েছে। ওপেন সোর্স সম্প্রদায় অত্যন্ত বড়, এবং এইভাবে তথ্য নিয়ন্ত্রণ করা সব পক্ষের ঈমানদারিত্বের উপর নির্ভর করে।
অন্যদিকে, হ্যাকাররা এই দুর্বলতাগুলি আগে থেকেই স্বতন্ত্রভাবে আবিষ্কার করেছিল বা গুপ্তচরবৃত্তির মাধ্যমে এগুলি জানতে পেরেছিল।
গবেষকদের মতে, এই দুর্বলতাগুলিকে প্রকৃতপক্ষে ব্যবহারযোগ্য করে তুলতে অনেক কাজ প্রয়োজন; দুর্বলতাগুলিকে অস্ত্রে পরিণত করা সবসময়ই একটি চ্যালেঞ্জ—কিন্তু অসম্ভব নয়—এবং এটিই ব্যাখ্যা করে যে কেন আমরা এখনও বৃহৎ স্কেলে দুর্বলতা ব্যবহারের কোনো ঘটনা দেখিনি।
ইন্টারনেট ব্যাপকভাবে বন্ধ হয়ে গেছে, কিন্তু এখন পুনরুদ্ধার হচ্ছে। আমরা সবচেয়ে খারাপ অবস্থা এড়িয়ে গেছি কি?
এখনই সিদ্ধান্ত নেওয়া অতি শীঘ্র, কিন্তু এখন পর্যন্ত বৃহৎ স্তরের দুর্বলতা ব্যবহারের কোনো লক্ষণ দেখা যায়নি, যা কমপক্ষে একটি উৎসাহজনক সংকেত—তবে আমরা এখনও সম্পূর্ণভাবে বিপদমুক্ত হয়নি।
সাইবার নিরাপত্তা এবং মনিটরিং কোম্পানি Cloudflare-এর সিইও ম্যাথিউ প্রিন্স এই সপ্তাহে বলেছেন যে, দুর্বলতা প্রকাশের পর থেকে এই দুর্বলতাগুলির দ্বারা হামলার প্রয়াসের সংখ্যা সূচকীয়ভাবে বৃদ্ধি পেয়েছে। এটি এই বিষয়টিও প্রমাণ করে যে, কুৎসিত আচরণকারীরা এই ত্রুটিগুলির সুযোগ নিয়ে নিজেদের জন্য লাভ করতে কতদ্রুত চেষ্টা করছে।
PHP শুধুমাত্র ওয়েব সার্ভারের জন্য ব্যবহৃত হয় না, বরং ডেভেলপমেন্ট টুল, কমান্ড লাইন এবং টার্মিনাল প্যাকেজ, এবং রাউটার, স্টোরেজ ডিভাইস এবং ফায়ারওয়াল এবং VPN-এর মতো এন্টারপ্রাইজ সিকিউরিটি ডিভাইসের জন্য ব্যবহৃত অন্যান্য সফটওয়্যার কম্পোনেন্টগুলিতেও ব্যবহৃত হয়।
ছোট আকারের আইটি দল এবং স্বাধীন ডেভেলপারদের আপডেট করার গতি ধীর হওয়ায়, PHP2Shell-এর দুর্বলতার ব্যবহার ভবিষ্যতেও দেখা যাবে। একইসাথে, PHP-কে তাদের পণ্য এবং সফটওয়্যারে একীভূত করা অনেক কোম্পানিকেও আপডেট করতে হবে, যা একটি স্থানান্তর পর্যায়ের মধ্যে দিয়ে যাবে।
যত বেশি ডিভাইস এবং সিস্টেম আপডেট করা হবে, আক্রমণের ক্ষেত্র ধীরে ধীরে কমে যাবে। তবে এই দুর্বলতাগুলির শৃঙ্খলাবদ্ধ প্রভাব বছরের পর বছর ধরে চলতে পারে, বিশেষ করে যেসব পুরনো সিস্টেমগুলি আপডেট করা যায় না।
Will this happen again?
আমি যখন সুরক্ষা পত্রিকার কাজ করি, তখন এটি একটি অসাধারণ দিন ছিল যা ইন্টারনেটকে বন্ধ করে দিয়েছিল। ২০১৬ সালে, বিশাল জংবোট নেটওয়ার্কটি ইন্টারনেট রেজিস্ট্রার ডিজিনের উপর স্প্যাম ট্রাফিক আক্রমণ চালিয়েছিল, যার ফলে অসংখ্য টপ-লেভেল ওয়েবসাইটের সেবা প্রায় বন্ধ হয়ে যায়। ২০১৭ সালে, উত্তর কোরিয়া মার্কিন সরকারের হ্যাকার টুলগুলির অপহরণকৃত সংস্করণ ব্যবহার করে ব্রিটিশ স্বাস্থ্যসেবা ব্যবস্থাকে আক্রমণ করেছিল এবং র্যানসমওয়্যার ছড়িয়েছিল। ২০২৪ সালে, CrowdStrike-এর একটি ত্রুটিপূর্ণ আপডেটের কারণে বিশ্বব্যাপী বড় পরিসরের ডাউনটাইম ঘটেছিল, যার ফলে বিশ্বব্যাপী বেশিরভাগ Windows কম্পিউটার একসাথে ক্রাশ হয়েছিল।
PHP2Shell এর মাধ্যমে ইন্টারনেট একটি অত্যন্ত ব্যথাদায়ক এবং ধ্বংসাত্মক দিন থেকে বাঁচে। কিন্তু এটি ভবিষ্যতে ইন্টারনেটকে প্রভাবিত করা হবে এমন শেষ ঘটনা হওয়ার সম্ভাবনা কম। এটি হয়তো পুরনো প্রযুক্তির দুর্বলতার উপর ভিত্তি করে ঘটা একটি ধারাবাহিক ঘটনার শুরু। এর প্রধান কারণ হলো, এই পুরনো কিন্তু সর্বব্যাপী সফটওয়্যারগুলিতে নিজস্বভাবেই ত্রুটি রয়েছে, যা এখনও আবিষ্কৃত হয়নি, এবং AI টুলগুলির কারণে ভাজা খুঁজে পাওয়াটা আরও সহজ হয়েছে।
PHP এবং কয়েক দশক আগের ওয়েব প্রোগ্রামিং ভাষা এবং প্রযুক্তি সমূহ “মেমোরি-অনসেফ” সফটওয়্যারের অংশ, যার অর্থ এগুলি একটি পুরো শ্রেণির ভাঙ্গনের শিকার হতে পারে, যা সফটওয়্যারকে মেমোরি স্টোরেজ থেকে সংবেদনশীল ডেটা প্রকাশ বা ওভারফ্লো করতে বাধ্য করে। মার্কিন জাতীয় নিরাপত্তা সংস্থা বলেছে, সক্রিয়ভাবে ব্যবহৃত 75% ভাঙ্গনই মেমোরি-সংক্রান্ত ত্রুটির সুযোগ নেয়, অর্থাৎ, হ্যাকাররা প্রায়শই এই ধরনের ভাঙ্গন ব্যবহার করে।
এটি শিল্পকে মেমোরি সেফ ভাষার দিকে নিয়ে যায়, যেমন পাইথন, রাস্ট এবং সুইফট, যেগুলি মেমোরি ভুলের মতো সহজেই দুর্বলতা হিসাবে ব্যবহার করা যায় না। ফলস্বরূপ, এই ভাষাগুলি এখনও তাদের পূর্বসূরিদের প্রভাবিত করছে এমন অসংখ্য ভুলগুলির থেকে প্রায় অপ্রভাবিত।
কিন্তু এটি এখনও ইন্টারনেটের একটি বড় অংশ রেখে যায়, যেখানে PHP, মিডিয়া এবং ভিডিও কোডেক, কম্প্রেশন লাইব্রেরি এবং অন্যান্য দশকের পুরনো সফটওয়্যার চলছে—এবং যখন এই প্রযুক্তিগুলির সমস্যা হয়, তখন সমগ্র ওয়েবের উপর বিশাল প্রভাব পড়ে।