এই ত্রুটিগুলোকে বলা হচ্ছে পিএইচপি-টু-শেল। এগুলোকে চিহ্নিত করা হয়েছে সিভিই-২০২৬-১০৯৬১৮ এবং সিভিই-২০২৬-১০৯৬১৯ নামে। দুটিরই ঝুঁকির মাত্রা খুব বেশি। নিরাপত্তা গবেষকেরা এগুলোকে ৯ দশমিক ২ স্কোর দিয়েছেন।
এ কারণেই বিভিন্ন প্রতিষ্ঠান দ্রুত ওয়েবসাইট বন্ধ করে সফটওয়্যার আপডেট করছে। উদ্দেশ্য একটাই—হ্যাকারদের হাতে সার্ভারের নিয়ন্ত্রণ চলে যাওয়ার আগেই ত্রুটি ঠিক করা।
পিএইচপি আসলে কী
সহজভাবে বললে, পিএইচপি হলো ওয়েবসাইট চালানোর পেছনে কাজ করা একটি প্রোগ্রামিং ভাষা।
এটি সরাসরি ওয়েবসাইটের পর্দায় দেখা যায় না। কিন্তু ওয়েবসাইটের বিভিন্ন তথ্য তৈরি, প্রক্রিয়া করা এবং ব্যবহারকারীর অনুরোধের জবাব দেওয়ার মতো কাজের বড় অংশ পিএইচপির মাধ্যমে হয়।
পিএইচপি ৩০ বছরেরও বেশি পুরোনো। এটি ওপেন সোর্স। অর্থাৎ এর কোড সবার জন্য উন্মুক্ত এবং বিশ্বের বিভিন্ন প্রান্তের প্রকৌশলীরা এটি উন্নত করেন।
ওয়ার্ডপ্রেসের মতো জনপ্রিয় ওয়েবসাইট ব্যবস্থাপনা ব্যবস্থা পিএইচপি-নির্ভর। ড্রুপাল ও জুমলাও পিএইচপি ব্যবহার করে। উইকিপিডিয়ার মতো বড় ওয়েবসাইটও পিএইচপি-ভিত্তিক সফটওয়্যার ব্যবহার করে।
বিভিন্ন হিসাবে দেখা যায়, বিশ্বের প্রায় ৭০ শতাংশ ওয়েবসাইট কোনো না কোনোভাবে পিএইচপি ব্যবহার করে। ফলে পিএইচপি-তে গুরুতর নিরাপত্তা ত্রুটি পাওয়া মানে শুধু একটি সফটওয়্যার আক্রান্ত হওয়া নয়। এর প্রভাব ছড়িয়ে পড়তে পারে বিশাল একটি ওয়েবভিত্তিক ব্যবস্থায়।
ত্রুটিটা আসলে কী
বিষয়টি বোঝার জন্য ‘মেমোরি’ বা কম্পিউটারের অস্থায়ী কাজের জায়গার কথা বুঝতে হবে।
পিএইচপি যখন কোনো ওয়েবসাইটের অনুরোধ প্রক্রিয়া করে, তখন কম্পিউটারের মেমোরিতে বিভিন্ন তথ্য সাময়িকভাবে রাখা হয়। নতুন ত্রুটিগুলো পিএইচপি-এর সেই মেমোরি ব্যবস্থাপনার সঙ্গে সম্পর্কিত।
বিশেষ করে কোনো অনুরোধের সময় মেমোরি শেষ হয়ে গেলে বা কোনো ত্রুটির কারণে কাজ মাঝপথে বন্ধ হয়ে গেলে পিএইচপি-এর ভেতরে কিছু তথ্য সঠিকভাবে পরিষ্কার না হওয়ার সুযোগ তৈরি হয়।
পরের কোনো অনুরোধে সেই পুরোনো বা ভুল অবস্থায় থাকা মেমোরি আবার ব্যবহার করা যেতে পারে। এখানেই বিপদ।
একজন হ্যাকার বিশেষভাবে তৈরি করা অনুরোধ পাঠিয়ে এই দুর্বলতাকে কাজে লাগাতে পারেন। সফল হলে তিনি পিএইচপি-র প্রক্রিয়ার মেমোরি থেকে তথ্য পড়তে পারেন। আরও ভয়ংকর বিষয় হলো, কিছু ক্ষেত্রে তিনি নিজের কোডও সার্ভারে চালাতে পারেন।
এর অর্থ, শুধু ওয়েবসাইটের একটি পেজ বদলে দেওয়া নয়। আক্রমণকারী সার্ভারের ভেতরে ঢুকে আরও বড় ক্ষতি করতে পারেন।
গবেষকেরা পাসওয়ার্ড, টোকেন ও এপিআই কী-এর মতো সংবেদনশীল তথ্য মেমোরি থেকে বের করার সম্ভাবনাও দেখিয়েছেন।
সবচেয়ে ভয়ংকর দিক কোথায়
সবচেয়ে বড় বিষয় হলো, সমস্যাটি কোনো নির্দিষ্ট ওয়েবসাইটের সফটওয়্যারে নয়। ত্রুটিটি পিএইচপি-এর মূল অংশে।
অর্থাৎ কোনো ওয়েবসাইট ওয়ার্ডপ্রেস ব্যবহার করছে কি না, সেটিই একমাত্র প্রশ্ন নয়। ওয়েবসাইটটি যদি আক্রান্ত পিএইচপি সংস্করণ ব্যবহার করে, তাহলে ঝুঁকি তৈরি হতে পারে।
গবেষকেরা ওয়ার্ডপ্রেস, ড্রুপাল ও জুমলার ওপর আক্রমণ সফলভাবে দেখিয়েছেন। তবে এসব প্ল্যাটফর্মের নিজস্ব ত্রুটির কারণে এমন হয়নি। মূল সমস্যা ছিল পিএইচপি-তে। এমনকি খুব সাধারণ একটি পিএইচপি অ্যাপ্লিকেশনও আক্রান্ত হতে পারে।
এই কারণেই এর প্রভাব এত বড়।
তাহলে ওয়েবসাইট বন্ধ করা হচ্ছে কেন
এখানে একটি গুরুত্বপূর্ণ বিষয় আছে।
কোনো ওয়েবসাইট সাময়িকভাবে বন্ধ হয়ে গেলে সেটি সব সময় হ্যাক হয়েছে—এমন নয়।
বরং অনেক ক্ষেত্রে ওয়েবসাইটের মালিক বা পরিচালকেরা সতর্কতা হিসেবে সেটি বন্ধ করছেন। তারপর পিএইচপি-এর নিরাপদ সংস্করণ ইনস্টল করছেন।
পিএইচপি ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ এবং ৮.২.৩৫ সংস্করণে সংশোধন দেওয়া হয়েছে। নিরাপত্তা সংস্থাগুলোও দ্রুত আপডেট করার পরামর্শ দিয়েছে।
অর্থাৎ যেসব ওয়েবসাইট বন্ধ হয়েছে, সেগুলোর অনেকগুলো আসলে নিজেদের রক্ষা করার জন্যই সাময়িকভাবে বন্ধ হয়েছে।
একজন নিরাপত্তা বিশেষজ্ঞের যুক্তিটা খুব সহজ—কয়েক ঘণ্টা ওয়েবসাইট বন্ধ রাখা অর্থনৈতিকভাবে ক্ষতিকর হতে পারে। কিন্তু সার্ভারের পুরো নিয়ন্ত্রণ হ্যাকারদের হাতে চলে গেলে ক্ষতি আরও বড় হতে পারে।
আসল বিপদ কোন ওয়েবসাইটগুলোতে
যেসব প্রতিষ্ঠান দ্রুত ব্যবস্থা নিচ্ছে, তাদের ঝুঁকি তুলনামূলকভাবে কমছে।
বরং বেশি চিন্তার বিষয় হলো সেই ওয়েবসাইটগুলো, যেগুলো এখনো স্বাভাবিকভাবে চলছে কিন্তু পিএইচপি আপডেট করেনি।
কারণ ত্রুটির বিস্তারিত এখন প্রকাশ্যে। আক্রমণকারীরা জানে কোথায় দুর্বলতা।
এমনকি প্যাচ প্রকাশের আগেই এই ত্রুটি কাজে লাগানোর চেষ্টা হয়েছিল বলে জানিয়েছে অ্যামাজনের থ্রেট ইন্টেলিজেন্স বিভাগ। তাদের তথ্য অনুযায়ী, ১৭ অক্টোবর একটি হানিপট সিস্টেমে পিএইচপি-টু-শেল কাজে লাগানোর চেষ্টা শনাক্ত হয়েছিল। অর্থাৎ জনসমক্ষে বিস্তারিত প্রকাশের চার দিন আগেই কেউ এটি কাজে লাগানোর চেষ্টা করেছিল।
এখন ঝুঁকি আরও বেড়েছে। কারণ ত্রুটির তথ্য, আক্রমণের পদ্ধতি এবং প্রতিরোধের উপায়—সবই নিরাপত্তা গবেষকদের মধ্যে ছড়িয়ে গেছে।
এআই এখানে কেন গুরুত্বপূর্ণ
এই ঘটনার সবচেয়ে নতুন এবং গুরুত্বপূর্ণ দিক হলো এআই।
আগে কোনো বড় সফটওয়্যারের গভীরে থাকা জটিল নিরাপত্তা ত্রুটি খুঁজে বের করতে গবেষকদের মাসের পর মাস, কখনো বছরের পর বছর সময় লাগত।
এখন শক্তিশালী এআই মডেলকে বিপুল পরিমাণ কোড পরীক্ষা করতে দেওয়া যায়। মানুষের চোখ এড়িয়ে যাওয়া অস্বাভাবিক আচরণও এআই শনাক্ত করতে পারে।
PHP-এর এই সমস্যাও এআই সহায়তায় শনাক্ত হয়েছে।
ওপেনএআই জানিয়েছে, তাদের ‘প্যাচ দ্য প্ল্যানেট’ উদ্যোগের আওতায় পিএইচপি-এর কোড পরীক্ষা করে একটি গুরুতর ত্রুটি শনাক্ত করা হয়েছিল। একই সময়ে অন্য গবেষকেরাও স্বাধীনভাবে ত্রুটিগুলো শনাক্ত করেন।
ডব্লিউআইজেড (Wiz)-এর গবেষকেরাও জানিয়েছেন, একাধিক জটিল ত্রুটি একসঙ্গে কাজে লাগিয়ে পিএইচপি-টু-শেল তৈরি করা সম্ভব হয়েছে। তাদের মতে, আগে এই কাজের জন্য যে পরিমাণ প্রযুক্তিগত দক্ষতা ও সময় দরকার হতো, এআই সেটি অনেক কমিয়ে দিয়েছে।
এখানেই নতুন যুগের সাইবার নিরাপত্তার বড় প্রশ্নটি সামনে আসে।
এআই যেমন নিরাপত্তা গবেষকদের দ্রুত ত্রুটি খুঁজে দিচ্ছে, তেমনি একই প্রযুক্তি ব্যবহার করে হ্যাকাররাও সেই ত্রুটি দ্রুত কাজে লাগাতে পারে।
অর্থাৎ প্রতিরক্ষা ও আক্রমণ—দুই পক্ষের হাতেই একই ধরনের শক্তিশালী প্রযুক্তি পৌঁছে যাচ্ছে।
ত্রুটিটি এতদিন ধরা পড়েনি কেন
এখানে আরেকটি অস্বস্তিকর প্রশ্ন আছে।
পিএইচপি নতুন কোনো সফটওয়্যার নয়। কয়েক দশক ধরে কোটি কোটি ওয়েবসাইটে এটি চলছে।
তারপরও এর মূল অংশে থাকা ত্রুটি এতদিন বড় আকারে ধরা পড়েনি কেন?
এর একটি কারণ হলো, মেমোরি-সংক্রান্ত ত্রুটি অত্যন্ত জটিল। কোনো ত্রুটি থাকলেই সেটিকে ব্যবহার করে বাস্তব আক্রমণ চালানো যায় না।
হ্যাকারকে অনেক ধাপ পেরোতে হয়। নির্দিষ্ট পরিস্থিতি তৈরি করতে হয়। সার্ভারের মেমোরি কীভাবে কাজ করছে, সেটিও বুঝতে হয়।
এই জটিলতাই এতদিন একটি প্রাকৃতিক নিরাপত্তাবাধা হিসেবে কাজ করেছে।
এআই সেই বাধা কমিয়ে দিচ্ছে।
অর্থাৎ কোনো সফটওয়্যারের ত্রুটি বহু বছর ধরে লুকিয়ে থাকলেও সেটি নিরাপদ—এমন ধারণা এখন আর আগের মতো নির্ভরযোগ্য নয়।
আরেকটি বড় শিক্ষা: ইন্টারনেটের ভিত কতটা নাজুক
এই ঘটনার আরেকটি দিক আরও গভীর।
ইন্টারনেট দেখতে বিশাল এবং অত্যাধুনিক একটি ব্যবস্থা। কিন্তু এর বড় একটি অংশ দাঁড়িয়ে আছে বহু পুরোনো ওপেন-সোর্স প্রকল্পের ওপর।
এসব প্রকল্প অনেক সময় অল্পসংখ্যক প্রকৌশলী রক্ষণাবেক্ষণ করেন।্পি
পিএইচপি ফাউন্ডেশন -ও সীমিত জনবল নিয়ে এই ভাষা পরিচালনা করে। অথচ পিএইচপি-এর ওপর নির্ভর করে বিশ্বের বিপুলসংখ্যক ওয়েবসাইট ও অনলাইন সেবা।
অর্থাৎ একদিকে এআই খাতে কোটি কোটি ডলার বিনিয়োগ হচ্ছে। অন্যদিকে সেই এআই দিয়ে যেসব ডিজিটাল ব্যবস্থা চালানো হয়, তার গুরুত্বপূর্ণ কিছু ভিত্তি রক্ষণাবেক্ষণ করা হচ্ছে তুলনামূলকভাবে ছোট দল দিয়ে।
পিএইচপি-টু-শেল সেই বৈপরীত্যটিই সামনে এনেছে।
তাহলে এটি কি ‘ইন্টারনেট বন্ধ হয়ে যাওয়ার’ মতো ঘটনা
না। এখন পর্যন্ত এমন কোনো পরিস্থিতি তৈরি হয়নি যে বিশ্বের ৭০ শতাংশ ওয়েবসাইট একসঙ্গে বন্ধ হয়ে যাবে।
৭০ শতাংশের হিসাবটি পিএইচপি ব্যবহারের বিস্তৃতি বোঝায়। সব পিএইচপি-নির্ভর ওয়েবসাইট একইভাবে আক্রান্ত হবে, এমন নয়। আবার সব আক্রান্ত ওয়েবসাইট হ্যাকও হয়েছে—এমন প্রমাণ নেই।
কিন্তু ঝুঁকির পরিমাণ বড়। কারণ পিএইচপি-র মূল অংশে থাকা ত্রুটিকে কাজে লাগিয়ে কোনো কোনো ক্ষেত্রে অনুমতি ছাড়াই সার্ভারে কোড চালানো সম্ভব।
তাই বিষয়টি ‘ইন্টারনেট ধ্বংস হয়ে যাচ্ছে’—এভাবে দেখার চেয়ে ‘ইন্টারনেটের একটি গুরুত্বপূর্ণ ভিত্তি দ্রুত মেরামত করতে হচ্ছে’—এভাবে দেখা বেশি সঠিক।
এখানে পিএইচপি-টু-শেল আসলে তিনটি পরিবর্তনের সংকেত দিচ্ছে।
প্রথমত, পুরোনো সফটওয়্যারের ত্রুটি এখনো বড় বৈশ্বিক ঝুঁকি তৈরি করতে পারে।
দ্বিতীয়ত, একটি ছোট ওপেন-সোর্স প্রকল্পের ওপর বিশ্বের বিপুলসংখ্যক অনলাইন সেবা নির্ভর করতে পারে।
তৃতীয়ত, এআই সাইবার নিরাপত্তার হিসাব বদলে দিচ্ছে।
এআই এখন শুধু কোড লিখছে না। কোডের দুর্বলতাও খুঁজে বের করছে।
আজ সেটি নিরাপত্তা গবেষকদের হাতে আছে। আগামীতে একই ক্ষমতা আরও সহজে আক্রমণকারীদের হাতেও পৌঁছাতে পারে।
সুতরাং পিএইচপি-টু-শেল-এর সবচেয়ে বড় শিক্ষা শুধু পিএইচপি আপডেট করা নয়। শিক্ষা হলো—ইন্টারনেটের সবচেয়ে গুরুত্বপূর্ণ অবকাঠামোগুলো কতটা পুরোনো, কতটা কেন্দ্রীভূত এবং কতটা সীমিত জনবলের ওপর নির্ভরশীল, সেটিও নতুন করে ভাবতে হবে।
সূত্র- দ্য গার্ডিয়ান
