ওয়েবসাইট তৈরির কাজে বিশ্বজুড়ে বহুল ব্যবহৃত ওপেন সোর্স প্রোগ্রামিং ভাষা পিএইচপি (PHP)-র দুটি অত্যন্ত মারাত্মক ও গুরুতর নিরাপত্তাত্রুটি ঘিরে বৈশ্বিক প্রযুক্তি পরিমণ্ডলে চরম উদ্বেগ ও শঙ্কার সৃষ্টি হয়েছে। এসব উন্মোচিত ত্রুটিকে হাতিয়ার বা মাধ্যম বানিয়ে কোনো ধরনের পাসওয়ার্ড ছাড়াই দূর থেকে যেকোনো ওয়েবসাইট কিংবা কেন্দ্রীয় সার্ভারে অনায়াসে প্রবেশ করে সংবেদনশীল তথ্য চুরি বা ধ্বংস করতে পারেন আন্তর্জাতিক হ্যাকাররা। বিশ্বব্যাপী ইন্টারনেটের আনুমানিক ৭০ শতাংশ ওয়েবসাইট প্রত্যক্ষ বা পরোক্ষভাবে পিএইচপির কাঠামোর ওপর নির্ভরশীল হওয়ায় এই ত্রুটির নেতিবাচক প্রভাব বহুদূর পর্যন্ত বিস্তৃত হতে পারে।

আন্তর্জাতিক খ্যাতনামা প্রযুক্তিবিষয়ক সংবাদমাধ্যম ‘টেকক্রাঞ্চ’-এর এক বিশদ প্রতিবেদনে বলা হয়েছে, গত বুধবার ‘পিএইচপি২শেল’ (PHP2Shell) নামের এই দুটি মারাত্মক বাগ বা ত্রুটি আনুষ্ঠানিকভাবে জনসমক্ষে আসে। সাইবার সুরক্ষার ভাষায় এগুলোকে যথাক্রমে CVE-2026-109618 এবং CVE-2026-109619 হিসেবে সুনির্দিষ্ট কোড নম্বর দেওয়া হয়েছে। ত্রুটি দুটি প্রকাশিত হওয়ার সাথে সাথেই তা দ্রুত সমাধানের লক্ষ্যে জরুরী সিকিউরিটি প্যাচ বা আপডেট প্রকাশ করেছে পিএইচপি ফাউন্ডেশন। তবে ইন্টারনেটের বিশ্বজুড়ে ছড়িয়ে থাকা অসংখ্য সার্ভারে এখনো এই নিরাপত্তা আপডেট কার্যকর না হওয়ায় সেগুলো এখনো মারাত্মক সাইবার হামলার ঝুঁকির মধ্যে রয়েছে।

যেভাবে কাজ করে এই মারাত্মক ত্রুটি:

পিএইচপি মূলত একটি ওপেন সোর্স প্রোগ্রামিং ল্যাঙ্গুয়েজ, যা দিয়ে বিশ্বজুড়ে কোটি কোটি ডাইনামিক ওয়েবসাইট ও জটিল ওয়েব অ্যাপ্লিকেশন তৈরি করা হয়ে থাকে। বিশ্বখ্যাত ওয়ার্ডপ্রেস, ড্রুপাল কিংবা জুমলার মতো জনপ্রিয় কন্টেন্ট ম্যানেজমেন্ট প্ল্যাটফর্মগুলোতেও প্রধান চালিকাশক্তি হিসেবে পিএইচপি ব্যবহৃত হয়।

প্রতিবেদনে প্রাপ্ত তথ্যানুযায়ী, বিগত ২০২৪ সালে এই দুটি নিরাপত্তা ত্রুটি প্রথম গবেষকদের নজরে এলেও সে সময় এগুলোকে কাজে লাগিয়ে কীভাবে হামলা চালানো সম্ভব—তার সুনির্দিষ্ট কৌশল বা পদ্ধতি জানা ছিল না। সম্প্রতি আন্তর্জাতিক সাইবার নিরাপত্তা গবেষকেরা এই ত্রুটি দুটি ব্যবহার করে সার্ভারে প্রবেশের সুনির্দিষ্ট কৌশল বা ওয়েপোনাইজেশন বের করতে সক্ষম হন। পরবর্তীতে পিএইচপি ফাউন্ডেশনকে বিষয়টি আনুষ্ঠানিকভাবে অবহিত করা হলে তারা দ্রুত ত্রুটি সংশোধনের প্যাচ তৈরির পদক্ষেপ গ্রহণ করে।

এই বিশেষ নিরাপত্তাত্রুটির সবচেয়ে বড় ও বিপজ্জনক দিক হলো, হ্যাকিং বা আক্রমণের শিকার হওয়ার জন্য সাধারণ ব্যবহারকারীর কোনো ঝুলন্ত লিংকে ক্লিক করা কিংবা ক্ষতিকর কোনো ফাইল ডাউনলোড করার প্রয়োজন পড়ে না। কাঙ্ক্ষিত সার্ভারে যদি পিএইচপির উপযুক্ত নিরাপত্তা আপডেট দেওয়া না থাকে, তবে কোনো স্পর্শ ছাড়াই দূর থেকেই হ্যাকাররা সেখানে নিজেদের ক্ষতিকর কোড বা কমান্ড চালিয়ে পুরো নিয়ন্ত্রণ নিয়ে নিতে পারে। সাইবার নিরাপত্তার ভাষায় একে ‘রিমোট কোড এক্সিকিউশন’ (RCE) হিসেবে অভিহিত করা হয়।

এই ধরনের স্বয়ংক্রিয় আক্রমণের মাধ্যমে হ্যাকাররা সহজেই মূল সার্ভারে ম্যালওয়্যার বা ক্ষতিকর সফটওয়্যার স্থাপন, গ্রাহকদের অতি গোপনীয় ডেটা চুরি কিংবা পরবর্তীতে পুনরায় অনায়াসে প্রবেশের জন্য গোপন ব্যাকডোর তৈরি করে রাখতে পারে।

কৃত্রিম বুদ্ধিমত্তার (AI) সহায়তায় ত্রুটি শনাক্তকরণ:

‘ক্যালিফ’ (Califf) নামের একটি প্রযুক্তিপ্রতিষ্ঠানের শীর্ষ নিরাপত্তা গবেষকেরা পিএইচপির মূল কোডভিত্তিক নিরীক্ষা বা অডিট পরিচালনা করার সময় প্রথম এই ত্রুটি দুটি উন্মোচন করেন। তারা আন্তর্জাতিক কৃত্রিম বুদ্ধিমত্তা সংস্থা ‘ওপেনএআই’ (OpenAI) এবং প্রখ্যাত ক্লাউড নিরাপত্তা প্রতিষ্ঠান ‘উইজ’ (Wiz)-এর যৌথ উদ্যোগ ‘হ্যাক দ্য প্ল্যানেট’-এর অংশ হিসেবে গবেষণা চালাচ্ছিলেন। পরবর্তীতে ওপেনএআই এই ত্রুটি কাজে লাগানোর বিভিন্ন পরীক্ষামূলক কৌশল ও ল্যাব-পদ্ধতি যাচাই-বাছাই করে দেখে।

আন্তর্জাতিক গবেষকেরা উল্লেখ করেছেন যে, ত্রুটি অনুসন্ধানের পুরো জটিল প্রক্রিয়ায় আধুনিক কৃত্রিম বুদ্ধিমত্তার প্রাতিষ্ঠানিক সহায়তা নেওয়া হয়েছিল। তবে পুরো কাজের সিংহভাগ সফলতা নির্ভর করেছে সাইবার গবেষকদের পূর্বার্জিত দক্ষতা, পিএইচপি কোডের অভ্যন্তরীণ গঠন সম্পর্কীয় জ্ঞান এবং অতীত সাইবার আক্রমণের প্যাটার্ন অনুধাবনের ওপর।

এদিকে, পিএইচপির পক্ষ থেকে আনুষ্ঠানিক নিরাপত্তা আপডেট প্রকাশের আগেই এই শূন্যস্থানকে কাজে লাগিয়ে বিশ্বজুড়ে বেশ কিছু হামলার ঘটনা অলরেডি ঘটে গেছে বলে দাবি করেছে টেক জায়ান্ট অ্যামাজন (Amazon)। প্রতিষ্ঠানটির সাইবার মনিটরিং টিমের পর্যবেক্ষণে গত ১৭ অক্টোবরের দিকেই ইন্টারনেট জগতে এ ধরনের সন্দেহজনক ও ক্ষতিকর কর্মকাণ্ডের আলামত ধরা পড়ে। তবে হ্যাকাররা কীভাবে দাপ্তরিক ঘোষণার আগেই এই গোপন ত্রুটির খবর পেয়েছিল, তা এখনো নিশ্চিত হওয়া যায়নি।

বর্তমান পরিস্থিতিতে করণীয় ও সতর্কতা:

সাইবার নিরাপত্তা গবেষক প্রতিষ্ঠান ‘পালো অল্টো নেটওয়ার্কস’ এবং ‘ট্রেইল অব বিটস’-এর সাম্প্রতিক তথ্য অনুযায়ী, গত শুক্রবারের মধ্যেই এই ত্রুটি দুটি ব্যবহার করে বিভিন্ন সিস্টেমে অবৈধ অনুপ্রবেশ এবং পরবর্তী ক্ষতিকর কর্মকাণ্ড চালানোর স্পষ্ট প্রমাণ মিলেছে। যদিও তাৎক্ষণিকভাবে আক্রান্ত ব্যবস্থা বা সার্ভারগুলোর পরিচয় জনসমক্ষে প্রকাশ করা হয়নি।

আন্তর্জাতিক নিরাপত্তা বিশেষজ্ঞদের গভীর আশঙ্কা, বিশ্বের হাজার হাজার ছোট প্রতিষ্ঠান, স্টার্টআপ এবং ব্যক্তিগত ওয়েবসাইট পরিচালকেরা সময়মতো সফটওয়্যার আপডেট না করায় আগামী দিনগুলোতেও বড় ধরনের সাইবার আক্রমণের ঝুঁকিতে থাকবেন। পিএইচপি সরাসরি ব্যবহার করা ওয়েব সার্ভারের পাশাপাশি বিভিন্ন ডেভেলপমেন্ট টুলস, নেটওয়ার্ক সরঞ্জাম এবং সিকিউরিটি ডিভাইসেও পিএইচপির এই ঝুঁকিপূর্ণ উপাদান বা মডিউল লুকায়িত অবস্থায় থাকতে পারে।

বর্তমান পরিস্থিতিতে বিশ্বজুড়ে সমাদৃত সকল ওয়েবসাইট পরিচালক ও সার্ভার অ্যাডমিনদের অবিলম্বে পিএইচপির অফিশিয়াল নিরাপত্তা আপডেট ইনস্টল করা, সার্ভারের অ্যাকসেস লগ নিয়মিত পরীক্ষা করা এবং অননুমোদিত যেকোনো প্রবেশের লক্ষণ পুঙ্খানুপুঙ্খভাবে খুঁজে দেখার জোরালো পরামর্শ দেওয়া হয়েছে। এছাড়া পুরোনো ও অপ্রচলিত সফটওয়্যারনির্ভর যেসব সিস্টেমে সরাসরি আপডেট দেওয়া সম্ভব নয়, সেগুলোতে বিকল্প ফায়ারওয়াল বা বাড়তি সিকিউরিটি লেয়ার স্থাপন করা অত্যন্ত জরুরি।

বিশেষজ্ঞদের মতে, এই অভাবনীয় ঘটনা পুরোনো প্রযুক্তির লুকিয়ে থাকা নিরাপত্তা দুর্বলতাকে উন্মোচিত করার পাশাপাশি কৃত্রিম বুদ্ধিমত্তার মাধ্যমে নতুন নতুন ত্রুটি বের করার বিশ্বব্যাপী ক্রমবর্ধমান সক্ষমতাকেও সুস্পষ্টভাবে সামনে নিয়ে এল। ফলে আগামী দিনে বড় আকারের আন্তর্জাতিক সাইবার হামলা রুখতে নিরবচ্ছিন্ন নিরাপত্তা পরীক্ষা ও দ্রুত সফটওয়্যার আপডেট রাখার কোনো বিকল্প নেই।