মার্কিন সাইবার নিরাপত্তা সংস্থা CISA নিশ্চিত করেছে যে হ্যাকাররা ব্যাপকভাবে ব্যবহৃত PHP ওয়েব সফটওয়্যারের দুটি গুরুতর নিরাপত্তা দুর্বলতার দুর্বলতা ব্যবহার করছে এবং মার্কিন সরকারের মধ্যে নাগরিক ফেডারেল সংস্থাগুলিকে পরবর্তী তিন দিনের মধ্যে সিস্টেমগুলি ঠিক করার আদেশ দিয়েছে।
এই জরুরি প্যাচ সতর্কবার্তা প্রকাশের এক সপ্তাহের মধ্যেই, দীর্ঘদিন ধরে ব্যবহৃত PHP ওয়েব প্রোগ্রামিং ভাষার রক্ষণাবেক্ষণকারীরা এই দুটি ভেলনের জন্য সংশোধন প্রকাশ করেছেন। এই ভেলনগুলি হ্যাকারদের পাসওয়ার্ড ছাড়াই ইন্টারনেটের মাধ্যমে দুর্বলতাপূর্ণ সিস্টেমগুলিতে দূরবর্তীভাবে প্রবেশ করতে দেয়। এটি প্রতিবেদন করা হয়েছে যে, PHP সফটওয়্যারটি প্রায় 70% ওয়েব-ভিত্তিক সার্ভারে ব্যবহৃত হয়, যা অসংখ্যওয়েবসাইট এবং অ্যাপ্লিকেশনকে ঝুঁকিতে ফেলেছে। ভেলনগুলির গুরুত্বপূর্ণতা এতটাই বেশি যে, কিছু সরকার এবং বড় কোম্পানি সংশোধনের জন্য তাদেরওয়েবসাইটগুলি অফলাইন করেছে।
এই ভেদগুলি যদিও "গুরুতর" হিসাবে মূল্যায়ন করা হয়েছে, যার অর্থ এগুলি ব্যবহার করলে বড় ক্ষতি হতে পারে, তবুও সুরক্ষা গবেষকরা বলেছেন যে প্রাথমিকভাবে কার্যকরী আক্রমণ তৈরি করা সহজ নয়—কিন্তু অসম্ভবও নয়। এখন প্রমাণিত হয়েছে যে বাস্তব আক্রমণ ঘটেছে, যা বিভিন্ন প্রতিষ্ঠানের উপর চাপ বাড়িয়েছে যাতে তারা দুর্নীতি, সেবা বিঘ্ন এবং ডেটা প্রবাহের প্রতিরোধের জন্য দ্রুত সিস্টেমগুলি আপডেট করে।
CISA সোমবারের বিবৃতিতে এই দুর্বলতাগুলির ব্যবহারকারীদের সম্পর্কে কোনো বিস্তারিত দেয়নি, তবে তাদের বিবৃতি প্রকাশের কিছুক্ষণ আগে সুরক্ষা গবেষকদের মতে, তারা PHP দুর্বলতাগুলির ব্যবহারের প্রমাণ খুঁজে পেয়েছিল।
এই দুটি দুর্বলতা, যাদের নাম PHP2Shell, সফটওয়্যারে বছরের পর বছর অজানা থাকা ত্রুটিগুলির উপর নির্ভর করে। এগুলি দুই বছর আগে আবিষ্কৃত হয়েছিল, কিন্তু সফটওয়্যারটির জন্য দায়িত্বশীল অলাভজনক ফাউন্ডেশন তখন বলেছিল যে হ্যাকারদের এই দুর্বলতাগুলির ব্যবহারের কোনও ব্যবহারিক উপায় নেই, তাই এগুলি পরিষ্কার করা হয়নি। এই বছরের শুরুতে, সিফোর্টের সিকিউরিটি গবেষকরা একটি AI মডেলের সাহায্যে এই দীর্ঘকাল লুকিয়ে থাকা দুটি দুর্বলতা ব্যবহারের উপায় খুঁজে পান।
PHP-এ এই দুটি ভাঙ্গন হল অসংখ্য এখনও আবিষ্কৃত না হওয়া বা বছরের পর বছর অগ্রাধিকারহীন হয়ে রাখা ভাঙ্গনের মধ্যে কয়েকটি; AI মডেলগুলি ভাঙ্গন আবিষ্কার এবং ব্যবহারের ক্ষমতা বৃদ্ধি পাচ্ছে, বিশেষ করে একাধিক ত্রুটির সংযোগের মাধ্যমে, এখন এই ভাঙ্গনগুলি ঝুঁকিরও কারণ হয়ে উঠেছে।
PHP হল ইন্টারনেট এবং আধুনিক প্রযুক্তির কার্যকারিতা নিশ্চিত করে এমন অসংখ্য পুরানো ওয়েব প্রযুক্তির মধ্যে একটি, যা বছরের পর বছর ধরে সম্পদ এবং অর্থায়নের অভাবে ভোগে, যার ফলে PHP-এর মতো ওপেন-সোর্স প্রকল্পগুলির জন্য সুরক্ষা পরীক্ষা বহন করা কঠিন হয়ে পড়ে, যা আগেই ভাঙনগুলি শনাক্ত করতে পারত।