ওয়েবসাইট হোস্ট করা সার্ভারে বহুল ব্যবহৃত জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপিতে মারাত্মক দুটি নিরাপত্তাত্রুটি শনাক্ত করা হয়েছে। কৃত্রিম বুদ্ধিমত্তা বা এআই প্রযুক্তির সহায়তায় সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ এবং উইজের গবেষকেরা এই ত্রুটিগুলো খুঁজে পেয়েছেন। যদিও পিএইচপি কর্তৃপক্ষ দ্রুত পদক্ষেপ নিয়ে ত্রুটিগুলোর সমাধান করে নতুন সংস্করণ প্রকাশ করেছে, তবে ততক্ষণে হ্যাকাররা এই দুর্বলতাকে কাজে লাগিয়ে বিভিন্ন ওয়েবসাইটে সাইবার হামলা শুরু করেছে। এই ভয়াবহ পরিস্থিতি মোকাবিলায় যুক্তরাষ্ট্র, জাপান, ফ্রান্স, জার্মানি ও নেদারল্যান্ডসসহ বিভিন্ন দেশের সরকার এবং নিরাপত্তা সংস্থাগুলো নজিরবিহীন সতর্কতা জারি করেছে এবং নিজেদের অনেক ওয়েবসাইট সাময়িকভাবে বন্ধ করে দিয়েছে।
পিএইচপি মূলত সার্ভার-সাইড প্রোগ্রামিং হিসেবে ব্যবহৃত হয়। মেলবোর্ন বিশ্ববিদ্যালয়ের এআই ও সাইবার নিরাপত্তাবিষয়ক লেকচারার অ্যান্ড্রিউ কুলেন বলেন, “বিশ্বের অসংখ্য যন্ত্র মূলত একটি মৌলিক সফটওয়্যারের ওপর নির্ভরশীল। ঠিক সেখানেই এই ত্রুটি বা বাগটি পাওয়া গেছে। এই ত্রুটির সুযোগ নিয়ে একজন হ্যাকার ওয়েবসাইটে নিজের কোড চালাতে পারেন, ওয়েবসাইট পরিবর্তন করে ফেলতে পারেন বা তথ্যভান্ডারে সংরক্ষণ করা ব্যক্তিগত তথ্য প্রকাশ করতে বাধ্য করতে পারেন।”
বাংলাদেশের সফটওয়্যার প্রকৌশলী ও প্রযুক্তি উদ্যোক্তা সুমিত সাহার মতে, পিএইচপির মেমোরি ব্যবস্থাপনা এবং বিশেষ করে মেমোরি শেষ হয়ে যাওয়ার মতো গুরুতর ত্রুটি সামলানোর প্রক্রিয়ায় এই দুর্বলতাগুলো তৈরি হয়েছে। এর ফলে সার্ভারের অভ্যন্তরীণ মেমোরির তথ্য ফাঁস হওয়া বা ক্ষতিকর কোড কার্যকর করার সুযোগ তৈরি হতে পারে।
ক্লাউড সিকিউরিটি প্রতিষ্ঠান উইজ সতর্ক করে জানিয়েছে, “সমস্যাটি পিএইচপির ভেতরেই রয়েছে। এর ফলে পিএইচপির যেকোনো সংস্করণে চলা সাধারণ ওয়েবসাইটও ঝুঁকিতে পড়তে পারে।” তাদের মতে, সাইবার অপরাধীরা এই ত্রুটির মাধ্যমে সার্ভারের মেমোরি থেকে পাসওয়ার্ডসহ অন্যান্য সংবেদনশীল তথ্য হাতিয়ে নিতে পারে। ধারণা করা হচ্ছে, পিএইচপি কোডবেজে এক দশকেরও বেশি সময় ধরে এই ত্রুটিগুলো লুকিয়ে ছিল।
মূলত পিএইচপির কোডিং কাঠামোর গভীরে থাকা দীর্ঘদিনের দুর্বলতা এবং মেমোরির অতিরিক্ত ব্যবহার বা মারাত্মক ত্রুটি হ্যান্ডল করার প্রক্রিয়ার সীমাবদ্ধতাকে কাজে লাগিয়ে হ্যাকাররা এই হামলা চালাচ্ছে। পিএইচপি ৫.৪ থেকে শুরু করে পরবর্তী বিভিন্ন সংস্করণে এক দশকের বেশি সময় ধরে এই ত্রুটি বিদ্যমান থাকলেও এতদিন তা অগোচরে ছিল। এই দুর্বলতার কারণে একজন আক্রমণকারী কোনো পাসওয়ার্ড বা বৈধ অ্যাকাউন্টের অ্যাকসেস ছাড়াই দূরবর্তী অবস্থান থেকে পুরোনো পিএইচপি-চালিত সার্ভারে ক্ষতিকর কমান্ড বা কোড চালাতে পারেন। এর ফলে ব্যবহারকারীদের ব্যক্তিগত তথ্য চুরি, তথ্যের পরিবর্তন কিংবা পুরো ওয়েবসাইটের নিয়ন্ত্রণ নেওয়া সম্ভব হচ্ছে। কৃত্রিম বুদ্ধিমত্তার ব্যবহার একদিকে যেমন দ্রুত ত্রুটি শনাক্ত করতে সাহায্য করছে, অন্যদিকে হ্যাকাররাও একে ব্যবহার করে নতুন নতুন হামলার পথ তৈরি করছে।
আমাজনের নিরাপত্তাপ্রধান সিজে মোসেস জানিয়েছেন, গত ২০ অক্টোবর পিএইচপির এই ত্রুটির খবর প্রকাশ্যে আসার চার দিন আগেই তাদের নিরাপত্তাদল একটি সাইবার হামলার চেষ্টা শনাক্ত করেছিল। ক্যালিফ এবং উইজের প্রতিবেদনগুলো যখন অপ্রকাশিত (এমবার্গো) অবস্থায় ছিল, তখন হ্যাকাররা কীভাবে এই তথ্যের নাগাল পেল তা এখনও স্পষ্ট নয়। সাধারণত নিরাপত্তা গবেষকেরা সমাধান প্রস্তুত না হওয়া পর্যন্ত ত্রুটির বিবরণ গোপন রাখেন যাতে আক্রমণকারীরা সুযোগ না পায়। ‘পিএইচপি২শেল’ নামে অভিহিত এই ত্রুটিগুলোর তীব্রতা মূল্যায়ন স্কেলে ১০-এর মধ্যে ৯.২ দেওয়া হয়েছে, যা অত্যন্ত সংবেদনশীল হিসেবে বিবেচিত। বিশ্বের প্রায় ৭০ শতাংশ ওয়েবসাইট পিএইচপি দিয়ে তৈরি, যার মধ্যে রয়েছে অসংখ্য ব্লগ, ই-কমার্স প্ল্যাটফর্ম এবং সরকারি পোর্টাল। তবে এর অর্থ এই নয় যে সব সাইট হ্যাক হয়েছে; আক্রান্ত সংস্করণ এবং সার্ভারের পরিবেশ ভেদে ঝুঁকির মাত্রা ভিন্ন হতে পারে।
নব্বইয়ের দশকের শুরুর দিকে আসা এই প্রোগ্রামিং ভাষাটি বর্তমানে ইন্টারনেটের এক বিশাল অংশ নিয়ন্ত্রণ করে। বিশেষ করে ওয়ার্ডপ্রেস, জুমলা এবং ড্রুপাল দিয়ে তৈরি সাইটগুলোর মূলে রয়েছে পিএইচপি। ফলে এর যেকোনো ত্রুটির প্রভাব হয় সুদূরপ্রসারী। ক্যালিফ, উইজ এবং ক্লাউডফ্লেয়ার জানিয়েছে, পিএইচপি ৫.৪ এবং এর পরবর্তী সব সংস্করণ এই ঝুঁকির আওতায় রয়েছে, যার ফলে বিশ্বের অধিকাংশ ওয়েবসাইটই এখন হুমকির মুখে।
বাংলাদেশের প্রেক্ষাপটেও এই হুমকি অত্যন্ত গুরুতর। সুমিত সাহা জানান, পিএইচপি একটি আধুনিক ও নিরাপদ ভাষা হওয়া সত্ত্বেও পুরোনো ভার্সন ব্যবহার বা সার্ভার সংক্রান্ত জটিলতার কারণে ওয়েবসাইটগুলো হ্যাকিংয়ের ঝুঁকিতে পড়ে। বাংলাদেশে অনেক ওয়েবসাইট পিএইচপি দিয়ে তৈরি হলেও সময়মতো প্যাচ বা কোড হালনাগাদ করা হয় না, যা ঝুঁকি বহুগুণ বাড়িয়ে দেয়। এই বিপদ থেকে বাঁচতে অবিলম্বে সফটওয়্যার ও কোড আপডেট করার পরামর্শ দেওয়া হয়েছে। উল্লেখ্য, ২১ অক্টোবর প্রকাশিত পিএইচপি ৮.২.৩৫, ৮.৩.৩৬, ৮.৪.২৭ ও ৮.৫.১২ সংস্করণে এই নিরাপত্তা ত্রুটিগুলোর সমাধান করা হয়েছে।
পিএইচপি ফাউন্ডেশন এবং মার্কিন জাতীয় নিরাপত্তা সংস্থাসহ বিভিন্ন প্রযুক্তি প্রতিষ্ঠান সতর্ক করেছে যে, বড় ধরনের বিপর্যয় এড়াতে ওয়েবসাইট প্রশাসকদের দ্রুত নিরাপত্তা প্যাচ বা ফিক্স ইনস্টল করতে হবে। নিয়মিত আপডেট, সঠিক সার্ভার কনফিগারেশন, অ্যাকসেস নিয়ন্ত্রণ এবং নিরবচ্ছিন্ন নিরাপত্তা পর্যবেক্ষণের মাধ্যমে এই ধরনের সাইবার হামলার ঝুঁকি কমানো সম্ভব।