পিএইচপির নিরাপত্তাত্রুটিতে বিশ্বজুড়ে সাইবার হামলা আতঙ্ক, বন্ধ বহু ওয়েবসাইট

বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তাত্রুটি শনাক্ত হওয়ার পর সম্ভাব্য সাইবার হামলা ঠেকাতে বিশ্বের বিভিন্ন দেশের সরকারি-বেসরকারি প্রতিষ্ঠান তাদের ওয়েবসাইট ও অনলাইন পরিষেবা সাময়িকভাবে বন্ধ করে দিয়েছে। কৃত্রিম বুদ্ধিমত্তা (এআই) ব্যবহার করে দীর্ঘদিন ধরে অশনাক্ত থাকা ত্রুটিগুলো শনাক্ত করার পর সেগুলো কাজে লাগিয়ে সার্ভারে অনুপ্রবেশের আশঙ্কা তৈরি হয়েছে। এরই মধ্যে ত্রুটিগুলো ব্যবহার করে প্রাথমিক পর্যায়ের হামলার খবর পাওয়া গেছে। 

বুধবার (২১ অক্টোবর) পিএইচপির ডেভেলপাররা নিরাপত্তাত্রুটি সংশোধনে নতুন সংস্করণ প্রকাশ করলেও ঝুঁকি পুরোপুরি কাটেনি বলে সতর্ক করেছেন সাইবার নিরাপত্তা বিশেষজ্ঞরা।

বার্তা সংস্থা রয়টার্সের প্রতিবেদন অনুযায়ী, নেদারল্যান্ডস, ফিনল্যান্ড, ফ্রান্সসহ ইউরোপের বিভিন্ন দেশে সরকারি সংস্থা, হাসপাতাল, শিক্ষাপ্রতিষ্ঠান ও অন্যান্য প্রতিষ্ঠানের ওয়েবসাইট বন্ধ রাখা হয়। যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ) পিএইচপিনির্ভর সিস্টেম ব্যবহারকারী প্রতিষ্ঠানগুলোকে দ্রুত নিরাপত্তা হালনাগাদ করার পরামর্শ দিয়েছে। তাৎক্ষণিকভাবে ত্রুটি সংশোধন করা সম্ভব না হলে সংশ্লিষ্ট সিস্টেম ইন্টারনেট থেকে বিচ্ছিন্ন বা সাময়িকভাবে বন্ধ রাখার নির্দেশনাও দিয়েছে সংস্থাটি। ইউরোপীয় ইউনিয়নের সাইবার নিরাপত্তা সংস্থাগুলোও একই ধরনের সতর্কতা জারি করেছে। তবে বিভিন্ন ওয়েবসাইট বন্ধ হওয়ার সব ঘটনার সঙ্গে পিএইচপির ত্রুটির সরাসরি সম্পর্ক কিংবা সব ক্ষেত্রে সফল সাইবার অনুপ্রবেশের বিষয়টি নিশ্চিত হয়নি।

নেদারল্যান্ডসে সতর্কতামূলক পদক্ষেপ হিসেবে জাতীয় সাইবার নিরাপত্তা কেন্দ্র, সরকারি পোর্টাল ওভারহেইড.এনএল, রটারডাম বন্দর, দেশটির জাতীয় ফুটবল সংস্থা কেএনভিবি, একাধিক হাসপাতাল ও রাজনৈতিক দলের ওয়েবসাইট বন্ধ রাখা হয়। ফিনল্যান্ডের সরকারি তথ্যপ্রযুক্তি পরিষেবা প্রদানকারী প্রতিষ্ঠান ভালতোরি সরকারি নেটওয়ার্কের ওয়েব পরিষেবা সাময়িকভাবে বন্ধ করে দেয়। প্রতিষ্ঠানটির পক্ষ থেকে জানানো হয়, এটি ছিল প্রতিরোধমূলক ব্যবস্থা; ত্রুটিগুলো কাজে লাগিয়ে হামলার চেষ্টা বা তথ্য চুরির কোনো ঘটনা শনাক্ত হওয়ার কারণে এ সিদ্ধান্ত নেওয়া হয়নি। ফ্রান্সের স্বরাষ্ট্র মন্ত্রণালয়ও স্থানীয় প্রশাসনের বিভিন্ন ওয়েবসাইট সাময়িকভাবে বন্ধ রাখে। এ ছাড়া ডেনমার্কের তথ্যপ্রযুক্তি প্রতিষ্ঠান কমবিট কয়েকটি পরিষেবা বন্ধ করে। যুক্তরাজ্যের এডিনবরা কাউন্সিলের ওয়েবসাইট এবং বিবিসির কয়েকটি অনুষ্ঠানভিত্তিক ওয়েবপেজও সাময়িকভাবে পাওয়া যায়নি বলে প্রতিবেদনে উল্লেখ করা হয়েছে।

নিরাপত্তাঝুঁকির মূল কারণ পিএইচপির দুটি গুরুতর ত্রুটি, যেগুলো কাজে লাগিয়ে কোনো ব্যবহারকারীর অনুমোদন ছাড়াই দূর থেকে আক্রান্ত সার্ভারে ক্ষতিকর কোড চালানো সম্ভব হতে পারে। 

ইউরোপীয় ইউনিয়নের কম্পিউটার ইমার্জেন্সি রেসপন্স টিম (সিইআরটি-ইইউ) জানিয়েছে, ত্রুটিগুলো আক্রান্ত সিস্টেমে অননুমোদিত কোড চালানোর সুযোগ তৈরি করতে পারে। এর ফলে হ্যাকাররা সার্ভারের ফাইল ও ডেটাবেইসে প্রবেশ, সংবেদনশীল তথ্য হাতিয়ে নেওয়া, ক্ষতিকর সফটওয়্যার স্থাপন কিংবা ওয়েবসাইটের কার্যক্রম ব্যাহত করার চেষ্টা করতে পারে। পিএইচপি প্রকল্পের নিরাপত্তা বিজ্ঞপ্তিতে ত্রুটি দুটিকে সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯ হিসেবে চিহ্নিত করা হয়েছে। উভয়টির ঝুঁকিমাত্রা সিভিএসএস ৪.০ স্কেলে ৯ দশমিক ২, যা গুরুতর নিরাপত্তাঝুঁকির নির্দেশক।

আরও পড়ুন: মেটার গিটহাবে হ্যাকারদের হানা, ১ ৫০০ জনের তথ্য ফাঁস

সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ ও উইজের গবেষকেরা কৃত্রিম বুদ্ধিমত্তার সহায়তায় ত্রুটিগুলো শনাক্ত করেন। গবেষকদের দাবি, দুর্বলতাগুলো এক দশকেরও বেশি সময় ধরে পিএইচপির কোডে লুকিয়ে ছিল। উন্নত এআই মডেল ব্যবহার করে অল্প সময়ের মধ্যে একাধিক অ্যাপ্লিকেশনে ত্রুটিগুলো কাজে লাগানোর কার্যকর কৌশল তৈরি করা সম্ভব হয়েছে বলেও জানিয়েছেন উইজের গবেষকেরা। 

প্রযুক্তি বিশেষজ্ঞদের আশঙ্কা, এআইয়ের মাধ্যমে সফটওয়্যারের দুর্বলতা দ্রুত শনাক্ত ও সেগুলো কাজে লাগানোর কৌশল তৈরি করা সহজ হওয়ায় সাইবার অপরাধীদের হামলার প্রস্তুতির সময় কমে আসছে। একই প্রযুক্তি নিরাপত্তা গবেষকদের দুর্বলতা শনাক্ত করতে সাহায্য করলেও তা অপরাধীদের হাতে গেলে ঝুঁকি বাড়তে পারে।

সাইবার নিরাপত্তা প্রতিষ্ঠান ক্লাউডফ্লেয়ারের প্রধান প্রযুক্তি কর্মকর্তা ডেন কেইনেখট জানিয়েছেন, পিএইচপির নিরাপত্তাত্রুটি কাজে লাগিয়ে প্রাথমিক পর্যায়ের হামলা শুরু হয়েছে। পরিস্থিতি মোকাবিলায় প্রতিষ্ঠানটি তাদের ওয়েব অ্যাপ্লিকেশন ফায়ারওয়ালের সুরক্ষাব্যবস্থা হালনাগাদ করছে। 

নিরাপত্তা বিশেষজ্ঞদের মতে, কোনো ত্রুটির সমাধান প্রকাশের পরও ঝুঁকি থেকে যায়। কারণ, সব প্রতিষ্ঠান দ্রুত নতুন সংস্করণ ইনস্টল করতে পারে না। আবার ত্রুটির বিষয়ে প্রকাশিত তথ্য বিশ্লেষণ করে হামলাকারীরা পুরোনো সংস্করণে থাকা দুর্বলতা কাজে লাগানোর চেষ্টা করতে পারে। ফলে নিরাপত্তা হালনাগাদ প্রকাশের পরপরই আক্রান্ত হওয়ার ঝুঁকি কমাতে দ্রুত পদক্ষেপ নেওয়া জরুরি।

ওয়েবসাইট তৈরিতে পিএইচপি বিশ্বের অন্যতম বহুল ব্যবহৃত প্রোগ্রামিং ভাষা। এটি সার্ভারভিত্তিক ভাষা হিসেবে ওয়েবপেজের তথ্য তৈরি, ডেটাবেইসের সঙ্গে যোগাযোগ এবং বিভিন্ন অনলাইন সেবার কার্যক্রম পরিচালনায় ব্যবহৃত হয়। 

প্রযুক্তি বিশ্লেষক প্রতিষ্ঠান ডব্লিউথ্রিটেকসের তথ্য অনুযায়ী, যেসব ওয়েবসাইটের প্রোগ্রামিং ভাষা শনাক্ত করা সম্ভব, তার প্রায় ৭০ থেকে ৭৫ শতাংশে পিএইচপি ব্যবহৃত হয়। এ ছাড়া ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা ও ম্যাজেন্টার মতো বহুল ব্যবহৃত ওয়েবসাইট ব্যবস্থাপনা প্ল্যাটফর্মও এ ভাষার ওপর নির্ভরশীল। ওয়ার্ডপ্রেস দিয়ে পরিচালিত হয় বিশ্বের উল্লেখযোগ্যসংখ্যক ওয়েবসাইট। ফলে পিএইচপির কোনো গুরুতর দুর্বলতা শুধু একটি সফটওয়্যার বা নির্দিষ্ট কয়েকটি ওয়েবসাইটের মধ্যে সীমাবদ্ধ না থেকে বিপুলসংখ্যক অনলাইন সেবাকে ঝুঁকির মুখে ফেলতে পারে।

নিরাপত্তাঝুঁকি মোকাবিলায় পিএইচপির ডেভেলপাররা ২১ অক্টোবর সংশোধিত সংস্করণ প্রকাশ করেন। আনুষ্ঠানিক ঘোষণায় পিএইচপি ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ ও ৮.২.৩৫ সংস্করণে ত্রুটি দুটির সমাধান থাকার কথা জানানো হয়েছে। সংশ্লিষ্ট সংস্করণ ব্যবহারকারীদের দ্রুত হালনাগাদ করার আহ্বান জানানো হয়েছে। যেসব ওয়েবসাইট পুরোনো বা আর নিরাপত্তা হালনাগাদ পায় না, সেগুলোর ক্ষেত্রে ঝুঁকি আরও বেশি হতে পারে। তাই শুধু মূল পিএইচপি সফটওয়্যার নয়, সংশ্লিষ্ট হোস্টিং পরিষেবা, সার্ভার কনফিগারেশন এবং পিএইচপিনির্ভর অন্যান্য সফটওয়্যারও পরীক্ষা করার পরামর্শ দিয়েছেন বিশেষজ্ঞরা।

সাইবার নিরাপত্তা সংস্থাগুলোর নির্দেশনা অনুযায়ী, ওয়েবসাইট পরিচালনাকারীদের প্রথমেই তাদের সার্ভারে পিএইচপির কোন সংস্করণ চলছে, তা শনাক্ত করতে হবে। এরপর সংশ্লিষ্ট নিরাপত্তা হালনাগাদ ইনস্টল, ইন্টারনেটের সঙ্গে যুক্ত সার্ভারের কার্যক্রম পর্যবেক্ষণ এবং অস্বাভাবিক প্রবেশের চিহ্ন খুঁজে দেখতে হবে। কোনো সিস্টেমে আগে থেকেই অনুপ্রবেশ ঘটেছে কি না, সেটিও পরীক্ষা করা জরুরি। কারণ, সফটওয়্যার হালনাগাদ করলেই অতীতে ঘটে যাওয়া কোনো অনুপ্রবেশ বা তথ্য চুরির ঝুঁকি স্বয়ংক্রিয়ভাবে দূর হয় না। দ্রুত ত্রুটি সংশোধন এবং সম্ভাব্য হামলার প্রমাণ যাচাই দুটি পদক্ষেপই সমান গুরুত্বপূর্ণ বলে মনে করছেন বিশেষজ্ঞরা।

সূত্র: রয়টার্স, পিএইচপি প্রকল্পের আনুষ্ঠানিক নিরাপত্তা বিজ্ঞপ্তি, সিইআরটি-ইইউ ও যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা।