ওয়েবসাইট তৈরিতে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তাত্রুটি শনাক্ত হয়েছে। এসব ত্রুটি কাজে লাগিয়ে হ্যাকাররা দূর থেকে আক্রান্ত সার্ভারে ক্ষতিকর নির্দেশনা চালানো, গুরুত্বপূর্ণ তথ্য চুরি কিংবা ক্ষতিকর সফটওয়্যার স্থাপন করতে পারেন। বিশ্বজুড়ে বিপুলসংখ্যক ওয়েবসাইট পিএইচপির ওপর নির্ভরশীল হওয়ায় এ নিরাপত্তাত্রুটি নিয়ে প্রযুক্তি ও সাইবার নিরাপত্তা অঙ্গনে উদ্বেগ তৈরি হয়েছে। বিশেষজ্ঞরা বলছেন, সংশ্লিষ্ট সফটওয়্যারের নিরাপত্তা হালনাগাদ দ্রুত ইনস্টল না করলে ওয়েবসাইট ও সার্ভারগুলো বড় ধরনের ঝুঁকিতে পড়তে পারে।
প্রযুক্তিবিষয়ক ওয়েবসাইট টেকক্রাঞ্চের প্রতিবেদনে বলা হয়েছে, ‘পিএইচপি২শেল’ নামে পরিচিত দুটি নিরাপত্তাত্রুটি সম্প্রতি প্রকাশ্যে আসে। এগুলোর শনাক্তকরণ নম্বর হিসেবে CVE-2026-109618 ও CVE-2026-109619 উল্লেখ করা হয়েছে। ত্রুটি দুটি সংশোধনের জন্য পিএইচপি ফাউন্ডেশন নিরাপত্তা হালনাগাদ প্রকাশ করেছে। তবে সব সার্ভারে এখনো হালনাগাদ ইনস্টল না হওয়ায় ঝুঁকি পুরোপুরি দূর হয়নি।
প্রতিবেদন অনুযায়ী, এসব ত্রুটির সুযোগ নিয়ে আক্রমণকারীরা আক্রান্ত সার্ভারে দূর থেকে কোড চালানোর চেষ্টা করতে পারেন। এ ধরনের আক্রমণকে সাইবার নিরাপত্তার ভাষায় ‘রিমোট কোড এক্সিকিউশন’ বলা হয়। কোনো সার্ভারে এ ধরনের দুর্বলতা কার্যকর থাকলে আক্রমণকারী সেখানে অননুমোদিত নির্দেশনা চালিয়ে তথ্য হাতিয়ে নেওয়া কিংবা পরবর্তী আক্রমণের জন্য ব্যবস্থা তৈরি করার সুযোগ পেতে পারেন।
পিএইচপি একটি ওপেন সোর্স প্রোগ্রামিং ভাষা, যা মূলত ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশন তৈরিতে ব্যবহৃত হয়। জনপ্রিয় কনটেন্ট ম্যানেজমেন্ট সিস্টেম ওয়ার্ডপ্রেস, ড্রুপাল এবং জুমলার মতো প্ল্যাটফর্মেও ভাষাটির ব্যবহার রয়েছে। ফলে পিএইচপির নিরাপত্তায় বড় ধরনের দুর্বলতা দেখা দিলে এর প্রভাব শুধু নির্দিষ্ট কোনো ওয়েবসাইটে সীমাবদ্ধ না থেকে বিভিন্ন ধরনের অনলাইন সেবা ও সার্ভারে ছড়িয়ে পড়তে পারে।
পিএইচপি ব্যবহার করে সংবাদমাধ্যমের ওয়েবসাইট, ই-কমার্স প্ল্যাটফর্ম, ব্যবসাপ্রতিষ্ঠানের অনলাইন সেবা এবং বিভিন্ন প্রতিষ্ঠানের অভ্যন্তরীণ ওয়েব অ্যাপ্লিকেশন পরিচালিত হয়। এসব ব্যবস্থায় গ্রাহকের তথ্য, ব্যবসায়িক নথি, ব্যবহারকারীর অ্যাকাউন্টের তথ্যসহ গুরুত্বপূর্ণ উপাত্ত সংরক্ষিত থাকতে পারে। নিরাপত্তাব্যবস্থায় দুর্বলতা থাকলে এসব তথ্য অননুমোদিত ব্যক্তির হাতে চলে যাওয়ার আশঙ্কা তৈরি হয়।
বিশ্বজুড়ে ওয়েবসাইটের বড় একটি অংশ পিএইচপিনির্ভর হওয়ায় নিরাপত্তা হালনাগাদ না করা সার্ভারগুলো বিশেষভাবে ঝুঁকিতে থাকতে পারে। তবে সব পিএইচপি-নির্ভর ওয়েবসাইট যে আক্রান্ত হয়েছে, এমন কোনো তথ্য এতে প্রমাণিত হয় না। ঝুঁকির মাত্রা নির্ভর করে ব্যবহৃত সংস্করণ, সার্ভারের কনফিগারেশন এবং সংশ্লিষ্ট নিরাপত্তা হালনাগাদ ইনস্টল করা হয়েছে কি না, তার ওপর।
প্রতিবেদন অনুযায়ী, নিরাপত্তাত্রুটি দুটি ২০২৪ সালে প্রথম শনাক্ত করা হয়েছিল। তবে সে সময় এগুলো কাজে লাগিয়ে কার্যকরভাবে আক্রমণ চালানোর পদ্ধতি জানা যায়নি। সম্প্রতি সাইবার নিরাপত্তা গবেষকেরা ত্রুটি দুটি ব্যবহার করে আক্রমণের কৌশল বের করেন। পরে বিষয়টি পিএইচপি ফাউন্ডেশনকে জানানো হলে দুর্বলতা সংশোধনের উদ্যোগ নেওয়া হয়।
ক্যালিফ নামের একটি প্রতিষ্ঠানের নিরাপত্তা গবেষকেরা পিএইচপির কোড বিশ্লেষণ করতে গিয়ে ত্রুটি দুটি শনাক্ত করেন। তাঁরা ওপেনএআই ও ক্লাউড নিরাপত্তা প্রতিষ্ঠান উইজের ‘হ্যাক দ্য প্ল্যানেট’ উদ্যোগের অংশ হিসেবে কাজ করছিলেন। পরবর্তী সময়ে ওপেনএআই ত্রুটিগুলো কাজে লাগানোর পরীক্ষামূলক পদ্ধতি যাচাই করে।
গবেষকদের ভাষ্য অনুযায়ী, ত্রুটি শনাক্ত ও কাজে লাগানোর প্রক্রিয়ায় কৃত্রিম বুদ্ধিমত্তার সহায়তা নেওয়া হয়েছিল। তবে পুরো কাজটি কেবল এআইয়ের ওপর নির্ভর করে সম্পন্ন হয়নি। গবেষকদের পূর্ব অভিজ্ঞতা, পিএইচপির কোড সম্পর্কে জ্ঞান এবং অতীতের সাইবার হামলার কৌশল বোঝার দক্ষতাও এতে গুরুত্বপূর্ণ ভূমিকা রেখেছে।
এ ঘটনা সফটওয়্যারের নিরাপত্তা দুর্বলতা শনাক্ত করতে কৃত্রিম বুদ্ধিমত্তার ক্রমবর্ধমান সক্ষমতাকে সামনে এনেছে। একই সঙ্গে বিশেষজ্ঞদের দক্ষতা ও প্রযুক্তিগত বিশ্লেষণের গুরুত্বও স্পষ্ট করেছে।
এদিকে, নিরাপত্তা হালনাগাদ প্রকাশের আগেই ত্রুটি দুটি কাজে লাগিয়ে হামলা চালানো হয়ে থাকতে পারে বলে জানিয়েছে অ্যামাজন। প্রতিষ্ঠানটির পর্যবেক্ষণে ১৭ অক্টোবরের দিকে এ ধরনের সন্দেহজনক কার্যকলাপের ইঙ্গিত পাওয়া যায়। তবে হামলাকারীরা কীভাবে ত্রুটির বিষয়ে জানতে পেরেছিল, তা নিশ্চিত হওয়া যায়নি।
সাইবার নিরাপত্তা প্রতিষ্ঠান পালো অল্টো নেটওয়ার্কস ও ট্রেইল অব বিটসের তথ্য অনুযায়ী, শুক্রবারের মধ্যে ত্রুটি দুটি কাজে লাগিয়ে অনুপ্রবেশ এবং পরবর্তী ক্ষতিকর কার্যকলাপের প্রমাণ পাওয়া যায়। তবে আক্রান্ত সার্ভার বা ব্যবস্থাগুলোর পরিচয় তখনো নিশ্চিত করা যায়নি।
এ ধরনের ঘটনা নিরাপত্তা হালনাগাদ প্রকাশের পাশাপাশি দ্রুত তা বাস্তবায়নের প্রয়োজনীয়তাও তুলে ধরে। কোনো সফটওয়্যারের দুর্বলতা প্রকাশ্যে আসার পর আক্রমণকারীরা সেটিকে কাজে লাগানোর চেষ্টা করতে পারেন। ফলে পুরোনো সংস্করণ ব্যবহার করা সার্ভারগুলো দ্রুত লক্ষ্যবস্তুতে পরিণত হওয়ার আশঙ্কা থাকে।
নিরাপত্তা বিশেষজ্ঞদের মতে, পিএইচপি ব্যবহারকারী ওয়েবসাইটের মালিক, সার্ভার প্রশাসক ও প্রযুক্তি দলগুলোর দ্রুত প্রয়োজনীয় পদক্ষেপ নেওয়া উচিত। প্রথমেই ব্যবহৃত পিএইচপি সংস্করণ যাচাই করে সংশ্লিষ্ট নিরাপত্তা হালনাগাদ ইনস্টল করতে হবে। পাশাপাশি ওয়েব সার্ভার, ওয়েব অ্যাপ্লিকেশন এবং সংশ্লিষ্ট সফটওয়্যার উপাদানগুলোও পর্যালোচনা করা প্রয়োজন।
সার্ভারের লগ পরীক্ষা করে অস্বাভাবিক প্রবেশ, সন্দেহজনক নির্দেশনা চালানো কিংবা অননুমোদিত পরিবর্তনের লক্ষণ খুঁজে দেখা জরুরি। কোনো সার্ভার আক্রান্ত হওয়ার প্রমাণ পাওয়া গেলে শুধু সফটওয়্যার হালনাগাদ করেই দায়িত্ব শেষ করা উচিত নয়; বরং ঘটনার তদন্ত, ক্ষতিগ্রস্ত ব্যবস্থা সুরক্ষিত করা এবং প্রয়োজন অনুযায়ী পরিচয় যাচাইয়ের তথ্য পরিবর্তনসহ অতিরিক্ত নিরাপত্তাব্যবস্থা নিতে হবে।
যেসব পুরোনো ব্যবস্থায় নিরাপত্তা হালনাগাদ করা সম্ভব নয়, সেগুলোর ক্ষেত্রে বিকল্প সুরক্ষাব্যবস্থা গ্রহণ এবং প্রয়োজন হলে দুর্বল উপাদান সাময়িকভাবে বন্ধ রাখার বিষয়টি বিবেচনা করা যেতে পারে। একই সঙ্গে সফটওয়্যার সরবরাহকারীর নির্দেশনা অনুসরণ করা গুরুত্বপূর্ণ।
সব মিলিয়ে, পিএইচপির এই দুটি নিরাপত্তাত্রুটি ওয়েব অবকাঠামোর নিরাপত্তা নিয়ে নতুন করে উদ্বেগ তৈরি করেছে। নিয়মিত সফটওয়্যার হালনাগাদ, কোডের নিরাপত্তা পরীক্ষা এবং সার্ভারের কার্যক্রম পর্যবেক্ষণ না করলে এ ধরনের দুর্বলতা বড় ধরনের সাইবার ঝুঁকিতে রূপ নিতে পারে। তাই ওয়েবসাইট পরিচালকদের দ্রুত ব্যবস্থা নেওয়ার পাশাপাশি ভবিষ্যতের আক্রমণ ঠেকাতে দীর্ঘমেয়াদি নিরাপত্তা পরিকল্পনাও জোরদার করতে হবে।
পড়ুন:এসকেএফ ফার্মাসিউটিক্যালস লিমিটেড নিয়োগ বিজ্ঞপ্তি প্রকাশ
ইমি/