বিশ্বজুড়ে বিপুলসংখ্যক ওয়েবসাইট পরিচালনায় ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপি (PHP)-তে দুটি গুরুতর নিরাপত্তাত্রুটি শনাক্ত হয়েছে। এসব ত্রুটি কাজে লাগিয়ে হ্যাকাররা দূর থেকেই সার্ভারের নিয়ন্ত্রণ নিতে পারে। পরিস্থিতির গুরুত্ব বিবেচনায় নিরাপত্তা হালনাগাদ বা প্যাচ ইনস্টল করা সম্ভব না হলে সংশ্লিষ্ট সার্ভার ইন্টারনেট থেকে বিচ্ছিন্ন রাখার পরামর্শ দিয়েছে যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ)।
একটি সতর্কবার্তায় এনএসএ বলেছে, দ্রুত হালনাগাদ করা সম্ভব না হলে নিরাপত্তাঝুঁকি পুরোপুরি মোকাবিলা না করা পর্যন্ত সংশ্লিষ্ট সিস্টেম অফলাইনে রাখা উচিত। যুক্তরাষ্ট্রের কেন্দ্রীয় তদন্ত সংস্থা এফবিআইও একই ধরনের সতর্কতা দিয়েছে।
‘পিএইচপি২শেল’ (PHP2Shell) নামে পরিচিত এই দুটি নিরাপত্তাত্রুটি ব্যবহার করে হামলাকারীরা আগে থেকে কোনো অনুমতি বা প্রবেশাধিকার ছাড়াই আক্রান্ত ওয়েব সার্ভারের নিয়ন্ত্রণ নেওয়ার সুযোগ পেতে পারে। গত ২১ অক্টোবর পিএইচপি ফাউন্ডেশন জরুরি নিরাপত্তা আপডেট প্রকাশ করে ত্রুটি দুটি সংশোধন করেছে।
প্রতিবেদন অনুযায়ী, উন্নত কৃত্রিম বুদ্ধিমত্তা (এআই) প্রযুক্তি ব্যবহার করে কয়েক সপ্তাহ অনুসন্ধানের পর গবেষকেরা ত্রুটি দুটি শনাক্ত করেন। ধারণা করা হচ্ছে, এগুলো এক দশকেরও বেশি সময় ধরে অশনাক্ত অবস্থায় ছিল।
পিএইচপি কেন এত গুরুত্বপূর্ণ?
পিএইচপি হলো একটি বহুল ব্যবহৃত প্রোগ্রামিং ভাষা। ওয়েবসাইটের সার্ভারে থাকা তথ্য একত্র করে ব্যবহারকারীর ব্রাউজারে ওয়েবপেজ দেখানোর কাজে এটি ব্যবহৃত হয়। ভাষাটি ওপেন সোর্স হওয়ায় এর উন্নয়ন ও রক্ষণাবেক্ষণে বিভিন্ন ব্যক্তি ও প্রতিষ্ঠান অবদান রাখে।
ওয়েব প্রযুক্তি পর্যবেক্ষণকারী প্রতিষ্ঠান ডব্লিউথ্রিটেকসের তথ্য অনুযায়ী, যেসব ওয়েবসাইটের ব্যবহৃত প্রোগ্রামিং ভাষা শনাক্ত করা যায়, সেগুলোর প্রায় ৭০ শতাংশেই পিএইচপি ব্যবহৃত হয়। ফলে এই নিরাপত্তাত্রুটির প্রভাব বিস্তৃত হতে পারে। উইকিপিডিয়া কিংবা ওয়ার্ডপ্রেসের মাধ্যমে পরিচালিত ওয়েবসাইটসহ পিএইচপিনির্ভর বিভিন্ন সেবা ঝুঁকিতে পড়তে পারে।
‘পিএইচপি২শেল’ কাজে লাগিয়ে হ্যাকাররা সার্ভারের ফাইল ও ডেটাবেজে প্রবেশ, সংবেদনশীল তথ্য চুরি, সেবা ব্যাহত করা, ক্ষতিকর সফটওয়্যার স্থাপন কিংবা একই নেটওয়ার্কের অন্য সিস্টেমে প্রবেশের চেষ্টা করতে পারে। এনএসএর সতর্কতা অনুযায়ী, ত্রুটি দুটি পিএইচপির মূল কাঠামোতেই রয়েছে; শুধু কোনো ওয়েব অ্যাপ্লিকেশন বা তার কনফিগারেশনের সমস্যা নয়। ফলে আক্রান্ত সংস্করণ ব্যবহার করা সার্ভারগুলো ঝুঁকিতে থাকতে পারে।
পিএইচপি ফাউন্ডেশন ত্রুটি দুটির ঝুঁকির মাত্রা ১০-এর মধ্যে ৯ দশমিক ২ নির্ধারণ করেছে।
পাথ ইন এআই টেকনোলজিসের প্রধান নির্বাহী কর্মকর্তা কানিষ্ক আগরওয়াল ইন্ডিয়া টুডে টেককে বলেন, পিএইচপিতে এ ধরনের ত্রুটি একসঙ্গে একাধিক অ্যাপ্লিকেশনের কার্যক্রম ব্যাহত করতে পারে। বিশেষ করে কোনো প্রতিষ্ঠান পুরোনো সংস্করণ ব্যবহার করলে বা নেটওয়ার্কে ঝুঁকিপূর্ণ সেবা চালু রাখলে বিপদ বাড়তে পারে।
পিএইচপির ত্রুটি শনাক্তে এআইয়ের ভূমিকা
ওপেনএআই জানিয়েছে, তাদের এআই মডেল ব্যবহার করেই নিরাপত্তাত্রুটিগুলো শনাক্ত করা হয়েছে। প্রতিষ্ঠানটি সামাজিক যোগাযোগমাধ্যম এক্সে বলেছে, ত্রুটিগুলোর ভয়াবহতা এবং পিএইচপির ব্যাপক ব্যবহারের কারণে সাম্প্রতিক সময়ের সবচেয়ে প্রভাবশালী নিরাপত্তা সমস্যাগুলোর একটি হিসেবে তারা এটিকে বিবেচনা করছে।
প্রতিবেদন অনুযায়ী, ক্যালিফোর্নিয়ার প্রতিষ্ঠান Calif.IO প্রথম গুরুতর ত্রুটিটি শনাক্ত করে। এতে জিপিটি-৫.৬ সল মডেল ব্যবহার করা হয়েছিল। সাইবার নিরাপত্তা প্রতিষ্ঠান উইজ (Wiz) স্বাধীনভাবে ত্রুটি দুটি শনাক্ত করে সংশ্লিষ্ট কর্তৃপক্ষকে জানায়।
পিএইচপি রক্ষণাবেক্ষণকারীরা ওপেনএআই, উইজ, ক্লাউডফ্লেয়ারসহ বিভিন্ন প্রতিষ্ঠানের সহযোগিতায় নিরাপত্তা সংশোধনের কাজ করেন। ওপেনএআইয়ের দাবি, সমস্যাগুলো সমাধানে প্রায় দুই মাস সময় লেগেছে এবং পিএইচপির মূল ইঞ্জিনে বড় ধরনের পরিবর্তন আনতে হয়েছে।
এ ছাড়া সম্ভাব্য ঝুঁকিপূর্ণ সংস্করণ শনাক্ত করতে কোডেক্সের জন্য একটি পিএইচপি সংস্করণ যাচাইয়ের টুল প্রকাশ করেছে ওপেনএআই। প্রয়োজনীয় সাইবার নিরাপত্তা সক্ষমতা সীমিত—এমন প্রতিষ্ঠানগুলোকে গুরুত্বপূর্ণ সেবা সুরক্ষায় সহায়তা দিতে ভর্তুকিযুক্ত ব্যবহারের সুযোগ হিসেবে ১০০ কোটি ডলার দেওয়ার প্রতিশ্রুতিও দিয়েছে প্রতিষ্ঠানটি।
নিরাপত্তার স্বার্থে বিভিন্ন দেশে ওয়েবসাইট বন্ধ
পিএইচপির নিরাপত্তাত্রুটি নিয়ে বিভিন্ন দেশে উদ্বেগ তৈরি হয়েছে। জাপানের প্রধানমন্ত্রী সানায়ে তাকাইচি জরুরি সতর্কতা দিয়েছেন। পাশাপাশি সতর্কতামূলক ব্যবস্থা হিসেবে ফিনল্যান্ড, নেদারল্যান্ডস ও যুক্তরাজ্যে কিছু সরকারি সেবা এবং ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছে বলে প্রতিবেদনে উল্লেখ করা হয়েছে।
এক্সে জাপানের প্রধানমন্ত্রী লিখেছেন, সরকারি ও জনসাধারণের জন্য উন্মুক্ত ওয়েবসাইটগুলোতে পিএইচপি ব্যবহার করা হচ্ছে কি না, তা পরীক্ষা করে দ্রুত নিরাপত্তা প্যাচ ইনস্টল করার প্রস্তুতি নিতে হবে। দ্রুত প্যাচ প্রয়োগ সম্ভব না হলে ঝুঁকি কমাতে সাময়িকভাবে ওয়েবসাইট বন্ধ রাখার কথাও বিবেচনা করা যেতে পারে।
ফিনল্যান্ড সাময়িকভাবে সরকারি ওয়েবসেবাগুলো বন্ধ করে দেয়। নেদারল্যান্ডসের সাইবার নিরাপত্তা সংস্থা নিজেদের ওয়েবসাইট অফলাইনে নেয়। দেশটির জনস্বাস্থ্য ইনস্টিটিউট এবং পার্লামেন্টের নিম্নকক্ষের ওয়েবসাইটেও প্রবেশ করা যাচ্ছিল না। নিরাপদে প্যাচ প্রয়োগ না করা পর্যন্ত উইকিমিডিয়া ফাউন্ডেশনও সতর্কতামূলক ব্যবস্থা হিসেবে কয়েকটি সিস্টেম বন্ধ রাখে, যার ফলে উইকিপিডিয়ার কিছু অংশে প্রবেশে সমস্যা হয়।
যুক্তরাজ্য, ইউরোপীয় ইউনিয়ন, অস্ট্রেলিয়া ও জাপানের সাইবার নিরাপত্তা সংস্থাগুলোও ব্যবহারকারীদের নিরাপত্তা আপডেট ইনস্টল করার আহ্বান জানিয়েছে। সিইআরটি-ইইউর তথ্য অনুযায়ী, ২০০৪ সালে প্রকাশিত পিএইচপি ৫ সংস্করণ থেকে শুরু করে পুরোনো সংস্করণগুলোও ঝুঁকির আওতায় থাকতে পারে। তবে পিএইচপি ফাউন্ডেশন সর্বশেষ সংস্করণগুলোর জন্য আপডেট দিয়েছে এবং পিএইচপি ৮.১ বা তার আগের সংস্করণ ব্যবহারকারীদের নতুন সংস্করণে উন্নীত হওয়ার পরামর্শ দিয়েছে।
নিরাপত্তাত্রুটির বিস্তারিত তথ্য সামাজিক যোগাযোগমাধ্যমে ফাঁস হয়ে যাওয়ায় পিএইচপি ফাউন্ডেশন নির্ধারিত সময়ের আগেই সতর্কতা ও সংশোধনী প্রকাশ করতে বাধ্য হয় বলে প্রতিবেদনে বলা হয়েছে।
ত্রুটি কাজে লাগানোর চেষ্টা বাড়ছে
নিরাপত্তাত্রুটিগুলো প্রকাশ্যে আসার আগেই এগুলো কাজে লাগানোর চেষ্টা শুরু হয়েছিল বলে জানিয়েছেন ক্লাউডফ্লেয়ারের প্রধান নির্বাহী কর্মকর্তা ম্যাথিউ প্রিন্স। তাঁর দাবি, প্রকাশের আগের ১০ ঘণ্টায় ক্লাউডফ্লেয়ারের নেটওয়ার্কে ত্রুটি কাজে লাগানোর হাজারো চেষ্টা দেখা যায়। তথ্য প্রকাশের পর প্রথম ৪৫ মিনিটে তা কয়েক দশ হাজারে পৌঁছায়, দুই ঘণ্টার মধ্যে কয়েক লাখ হয় এবং পরে সংখ্যাটি কয়েক মিলিয়নে দাঁড়ায়।
অ্যাক্রোনিসের মহাব্যবস্থাপক রাজেশ ছাবরা বলেন, এআই প্রযুক্তির কারণে নিরাপত্তাত্রুটি শনাক্ত করা সহজ হচ্ছে। তবে একই সঙ্গে ত্রুটি সংশোধনের আপডেট প্রকাশ এবং হ্যাকারদের কার্যকর হামলা চালানোর মধ্যকার সময়ও কমে আসছে। তাই দ্রুত প্যাচ ইনস্টল করাকে জরুরি নিরাপত্তা কার্যক্রম হিসেবে বিবেচনা করতে হবে।
তাঁর মতে, এসব ত্রুটি কাজে লাগাতে পারলে হামলাকারীরা সার্ভারে কমান্ড চালানো, তথ্য চুরি, ক্ষতিকর সফটওয়্যার স্থাপন এবং সংযুক্ত অন্যান্য সিস্টেমে প্রবেশের চেষ্টা করতে পারে।
পিএইচপির এই নিরাপত্তা সংকটের পাশাপাশি সম্প্রতি ভারতের ডিজিটাল সার্টিফিকেট ব্যবস্থায় ব্যবহৃত দুর্বল নিরাপত্তা কী এবং দেশটির স্টেট ব্যাংক অব ইন্ডিয়ার (এসবিআই) সাইবার হামলার খবরও সামনে এসেছে।
সূত্র: ইন্ডিয়া টুডে