পিএইচপিতে মারাত্মক নিরাপত্তা ত্রুটি: এনএসএ ও এফবিআইয়ের সতর্কতা

বিশ্বজুড়ে ওয়েবসাইটের সার্ভার নিয়ন্ত্রণে নিতে পারে এমন দুটি অত্যন্ত ঝুঁকিপূর্ণ নিরাপত্তা ত্রুটি ধরা পড়েছে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা ‘পিএইচপি’তে। বুধবার এই ত্রুটি শনাক্ত হওয়ার পর বিশ্বব্যাপী ওয়েবসাইট ও সার্ভারের নিরাপত্তা নিয়ে উদ্বেগ তৈরি হয়েছে। এমন পরিস্থিতিতে ব্যবহারকারীদের অবিলম্বে নিরাপত্তা হালনাগাদ ইনস্টল করার আহ্বান জানিয়েছেন পিএইচপির ডেভেলপাররা।

সফটওয়্যারটির প্যাচ বা ত্রুটিমুক্ত সংস্করণ উন্মুক্ত করে ডেভেলপাররা সতর্ক করেছেন, সাইবার হামলাকারীরা কোনো ধরনের প্রমাণীকরণ (অথেনটিকেশন) ছাড়াই দূর থেকে ক্ষতিকর কোড চালিয়ে এই ত্রুটির অপব্যবহার করতে পারে।

এক নিরাপত্তা সতর্কবার্তায় পিএইচপি দল উল্লেখ করেছে, ওয়েব রিকোয়েস্ট পরিচালনার সঙ্গে যুক্ত সব ধরনের পিএইচপি ইনস্টলেশন এখন সম্ভাব্য ঝুঁকিতে রয়েছে।

ডেভেলপাররা এই ত্রুটি দুটিকে ‘সিভিই-২০২৬-১০৯৬১৮’ এবং ‘সিভিই-২০২৬-১০৯৬১৯’ হিসেবে চিহ্নিত করেছেন। মেমোরি হ্যান্ডলিংয়ের ত্রুটি এবং রিকোয়েস্টগুলোর মধ্যে সংরক্ষিত পুরোনো অভ্যন্তরীণ অবস্থার কারণে এই সমস্যার সৃষ্টি হয়। এর ফলে হামলাকারীরা আক্রান্ত সার্ভারে দূর থেকেই ক্ষতিকর কোড কার্যকর করার সুযোগ পায়।

যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ) পিএইচপি ব্যবহারকারী প্রতিষ্ঠানগুলোকে অবিলম্বে নিরাপত্তা হালনাগাদের প্রস্তুতি নেওয়ার আহ্বান জানিয়েছে। সংস্থাটি সতর্ক করে বলেছে, এই দুর্বলতা সার্ভারের ফাইল সিস্টেম বা ডেটাবেসে সাইবার অপরাধীদের সরাসরি প্রবেশের সুযোগ করে দিতে পারে।

সংস্থাটি বলেছে, ‘এই ত্রুটিগুলো প্রায়ই সার্ভারের ফাইল সিস্টেম বা ডেটাবেসে সরাসরি প্রবেশের পথ তৈরি করে দেয়। অবিলম্বে হালনাগাদ করা সম্ভব না হলে, ঝুঁকি পুরোপুরি প্রশমিত না হওয়া পর্যন্ত প্রতিষ্ঠানগুলোর সিস্টেম অফলাইনে রাখার সুপারিশ করা হচ্ছে।’ এ বিষয়ে পরবর্তীতে আরও বিস্তারিত নির্দেশনা দেওয়া হবে বলেও উল্লেখ করা হয়।

মার্কিন গোয়েন্দা সংস্থা এফবিআইয়ের সাইবার ডিভিশন পিএইচপির ক্ষতিগ্রস্ত ইনস্টলেশনগুলো দ্রুত হালনাগাদ করার তাগিদ দিয়েছে। একই সঙ্গে ইন্টারনেটের সঙ্গে সরাসরি যুক্ত সার্ভার এবং এই প্রোগ্রামিং ভাষা ব্যবহার করা থার্ড-পার্টি পণ্যগুলোকে অগ্রাধিকার দিয়ে পিএইচপি চালিত সব সিস্টেমের তালিকা তৈরির পরামর্শ দিয়েছে সংস্থাটি।

কোনো ক্ষতিকর তৎপরতা চলছে কি না তা শনাক্ত করতে ওয়েব সার্ভারগুলো গভীরভাবে পর্যবেক্ষণের আহ্বান জানিয়েছে এফবিআই। বিশেষ করে পিএইচপি প্রক্রিয়ার মাধ্যমে অপ্রত্যাশিতভাবে কমান্ড শেল চালু হওয়া কিংবা ফাইল ডাউনলোডের মতো সন্দেহজনক গতিবিধি নজরদারির পরামর্শ দিয়েছে সংস্থাটি।

এদিকে কৃত্রিম বুদ্ধিমত্তা প্রতিষ্ঠান ওপেনএআই এক বিবৃতিতে উল্লেখ করেছে, তাদের এআই মডেল গবেষকদের এই ত্রুটি শনাক্ত করতে সহায়তা করেছে। উন্মুক্তভাবে প্রকাশের আগেই সমাধান তৈরির উদ্দেশ্যে সফটওয়্যার রক্ষণাবেক্ষণকারী, গবেষক ও নিরাপত্তা সরবরাহকারীদের একত্রিত করে চালু করা ‘প্যাচ দ্য প্ল্যানেট’ উদ্যোগের আওতায় এই ত্রুটি খুঁজে বের করা হয়।

প্রতিষ্ঠানটি বলেছে, এই প্রস্তুতি প্রক্রিয়ায় তাদের দুই মাস সময় লেগেছে, কারণ ত্রুটিগুলো দূর করতে পিএইচপি ইঞ্জিনে এক জটিল পরিবর্তনের প্রয়োজন ছিল।

বর্তমান ইন্টারনেটের একটি বড় অংশ পরিচালিত হয় পিএইচপির মাধ্যমে। ওপেনএআইয়ের হিসাব অনুযায়ী, বিশ্বের প্রায় ৭০ শতাংশ ওয়েবসাইটই এই প্রোগ্রামিং ভাষার ওপর নির্ভরশীল। বিশাল এই পরিধির কারণে সিস্টেমগুলো যথাসময়ে হালনাগাদ না করা হলে হামলাকারীদের জন্য বড় ধরনের সুযোগ তৈরি হতে পারে।