পিএইচপিতে দুই নিরাপত্তা ত্রুটি, দ্রুত আপডেটের আহ্বান
ইন্টারনেটে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হয়েছে কৃত্রিম বুদ্ধিমত্তার (এআই) সহায়তায়। এসব ত্রুটিকে কাজে লাগিয়ে হ্যাকাররা সার্ভারে অননুমোদিত প্রবেশ কিংবা ক্ষতিকর কোড চালাতে পারে বলে আশঙ্কা করা হচ্ছে।
ঝুঁকি মোকাবিলায় বিভিন্ন দেশের সরকারি সংস্থা ও সাইবার নিরাপত্তা প্রতিষ্ঠান ওয়েবসাইটের নিরাপত্তা হালনাগাদ করার আহ্বান জানিয়েছে। প্রয়োজনে সাময়িকভাবে সিস্টেম বন্ধ রাখারও পরামর্শ দেওয়া হয়েছে।
ব্রিটিশ সংবাদমাধ্যম বিবিসির প্রতিবেদনে বলা হয়েছে, বুধবার (২১ অক্টোবর) ত্রুটি সংশোধনের জন্য নিরাপত্তা আপডেট প্রকাশ করা হয়। তবে সতর্কতামূলক ব্যবস্থা হিসেবে ফিনল্যান্ডের সরকারি ওয়েবসেবা, নেদারল্যান্ডসের কয়েকটি সরকারি ওয়েবসাইট এবং যুক্তরাজ্যের এডিনবরা কাউন্সিলের ওয়েবসাইটসহ কিছু অনলাইন সেবা সাময়িকভাবে বন্ধ রাখা হয়েছে।
সাইবার নিরাপত্তা প্রতিষ্ঠান উইজের (Wiz) দাবি, এআইয়ের সহায়তায় শনাক্ত হওয়া ত্রুটিগুলোর মধ্যে এগুলো অন্যতম গুরুতর। প্রতিষ্ঠানটির অনুমান, ইন্টারনেটের প্রায় ৭০ শতাংশ এ সমস্যার প্রভাবের আওতায় থাকতে পারে। তবে এ পরিসংখ্যান স্বাধীনভাবে যাচাই করতে পারেনি বিবিসি।
যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ) সামাজিক যোগাযোগমাধ্যম এক্সে জানিয়েছে, যেসব প্রতিষ্ঠান দ্রুত নিরাপত্তা আপডেট ইনস্টল করতে পারবে না, তাদের সাময়িকভাবে সংশ্লিষ্ট সিস্টেম বন্ধ রাখার বিষয়টি বিবেচনা করা উচিত। সংস্থাটির সতর্কতা অনুযায়ী, এসব ত্রুটি কাজে লাগিয়ে হ্যাকাররা সার্ভারের ফাইল সিস্টেম বা ডেটাবেইসে অননুমোদিত প্রবেশের সুযোগ পেতে পারে।
হোয়াইট হাউস জানিয়েছে, সমস্যা সমাধানে যুক্তরাষ্ট্রের ফেডারেল সংস্থাগুলো শীর্ষস্থানীয় এআই গবেষণাগারগুলোর সঙ্গে কাজ করছে। অন্যদিকে জাপানের প্রধানমন্ত্রী সানায়ে তাকাইচি প্রকাশ্যে প্রবেশযোগ্য ওয়েবসাইটগুলো পিএইচপি ব্যবহার করে পরিচালিত হচ্ছে কি না, তা যাচাই করার আহ্বান জানিয়েছেন।
উইকিপিডিয়ার পরিচালনাকারী প্রতিষ্ঠান উইকিমিডিয়া ফাউন্ডেশনও ত্রুটি সংশোধনের কাজ চালানোর কথা জানিয়েছে। সতর্কতামূলক পদক্ষেপ হিসেবে কিছু সিস্টেম সাময়িকভাবে বন্ধ রাখায় বুধবার উইকিপিডিয়ার কয়েকটি অংশে প্রবেশ করতে সমস্যায় পড়েন ব্যবহারকারীরা। বিবিসির ‘ডক্টর হু’ ও ‘দ্য ট্রেইটর্স’ অনুষ্ঠানের কয়েকটি ওয়েবপেজও অপ্রবেশযোগ্য হয়ে পড়ে। তবে এসব সাইটের সমস্যার সঙ্গে পিএইচপির ত্রুটির সরাসরি সম্পর্ক নিশ্চিত হওয়া যায়নি।
এক দশকের বেশি সময় আড়ালে ছিল ত্রুটি
সাইবার নিরাপত্তা গবেষণা প্রতিষ্ঠান ক্যালিফ ও উইজের গবেষকেরা পিএইচপির ত্রুটিগুলো শনাক্ত করেন। এ কাজে ওপেনএআইয়ের ‘প্যাচ দ্য প্ল্যানেট’ কর্মসূচির আওতায় উন্নত এআই প্রযুক্তি ব্যবহারের সুযোগ পান গবেষকেরা। ওপেনএআই জানিয়েছে, সাম্প্রতিক সময়ে শনাক্ত হওয়া গুরুত্বপূর্ণ সাইবার নিরাপত্তা সমস্যাগুলোর মধ্যে এটি অন্যতম। প্রতিষ্ঠানটির একজন অভ্যন্তরীণ গবেষকও প্রায় একই সময়ে ত্রুটিটি শনাক্ত করেছিলেন।
প্রতিবেদন অনুযায়ী, ত্রুটিগুলো এক দশকেরও বেশি সময় ধরে অশনাক্ত ছিল। উন্নত এআই মডেল ব্যবহার করে কয়েক সপ্তাহ গবেষণার পর আগস্টে এগুলো শনাক্ত করা হয়। উইজের দাবি, এআইয়ের সহায়তায় কয়েক ঘণ্টার মধ্যেই বিভিন্ন অ্যাপ্লিকেশনের বিরুদ্ধে কার্যকর আক্রমণপদ্ধতি তৈরি ও পরীক্ষা করা সম্ভব হয়েছে।
পিএইচপি ফাউন্ডেশনের পরিকল্পনা ছিল চলতি মাসের শেষ দিকে ত্রুটিগুলোর বিস্তারিত তথ্য ও সমাধান প্রকাশ করা। তবে মঙ্গলবার সামাজিক যোগাযোগমাধ্যমে এ বিষয়ে তথ্য ফাঁস হয়ে যাওয়ায় নির্ধারিত সময়ের আগেই ঘোষণা দিতে হয়।
জনপ্রিয় ওয়েবসাইটগুলোও ঝুঁকিতে
ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা ও ম্যাজেন্টার মতো বহুল ব্যবহৃত ওয়েব প্ল্যাটফর্মে পিএইচপি ব্যবহৃত হয়। এ ছাড়া বিভিন্ন হোস্টিং প্ল্যাটফর্ম ও সফটওয়্যারের কার্যক্রমেও ভাষাটি গুরুত্বপূর্ণ ভূমিকা রাখে। ফলে ত্রুটিগুলো কাজে লাগিয়ে হ্যাকাররা দূর থেকে সার্ভারে ক্ষতিকর কোড চালানো, ম্যালওয়্যার ইনস্টল করা কিংবা ওয়েবসাইট অচল করে দেওয়ার চেষ্টা করতে পারে বলে আশঙ্কা করছেন বিশেষজ্ঞরা।
সোফোসের কাউন্টার থ্রেট ইউনিটের সাইবার নিরাপত্তা বিশেষজ্ঞ ডন স্মিথ বিবিসিকে বলেন, হ্যাকারদের কাছে এ ত্রুটিগুলো অগ্রাধিকারপ্রাপ্ত লক্ষ্য হয়ে উঠতে পারে। শুধু আপডেট ইনস্টল করলেই হবে না, প্রতিষ্ঠানের কোথায় কোথায় পিএইচপি ব্যবহার করা হচ্ছে, তা শনাক্ত করাও জরুরি।
ইন্টারনেট অবকাঠামো প্রতিষ্ঠান ক্লাউডফ্লেয়ারের প্রধান প্রযুক্তি কর্মকর্তা ডেন নেখট জানিয়েছেন, ত্রুটিগুলোকে কেন্দ্র করে প্রাথমিক পর্যায়ের সাইবার হামলার লক্ষণ দেখা যাচ্ছে। নতুন আক্রমণপদ্ধতি সামনে আসার সঙ্গে সঙ্গে সেগুলো প্রতিরোধে নিরাপত্তাব্যবস্থা হালনাগাদ করা হচ্ছে।
পুরোনো সংস্করণেও থাকতে পারে ঝুঁকি
ইউরোপীয় ইউনিয়নের কম্পিউটার ইমার্জেন্সি রেসপন্স টিম (সার্ট-ইইউ) জানিয়েছে, ত্রুটিগুলোর কারণে অনুমতি ছাড়াই দূর থেকে সিস্টেমে কোড চালানোর সুযোগ তৈরি হতে পারে। সংস্থাটির তথ্য অনুযায়ী, ২০০৪ সালে প্রকাশিত পিএইচপি ৫ থেকে শুরু করে পরবর্তী সংস্করণগুলোও ঝুঁকির আওতায় থাকতে পারে।
তবে ঠিক কোন কোন সংস্করণ আক্রান্ত, তা এখনো পুরোপুরি স্পষ্ট নয়। পিএইচপি ফাউন্ডেশন তুলনামূলক নতুন সংস্করণগুলোর জন্য নিরাপত্তা আপডেট প্রকাশ করেছে। পিএইচপি ৮.১ বা এর চেয়ে পুরোনো সংস্করণ ব্যবহারকারীদের নতুন সংস্করণে উন্নীত হওয়ার পরামর্শ দেওয়া হয়েছে।
যুক্তরাজ্যের জাতীয় সাইবার নিরাপত্তা কেন্দ্রসহ বিভিন্ন দেশের নিরাপত্তা সংস্থা দ্রুত নিরাপত্তা আপডেট ইনস্টল করার আহ্বান জানিয়েছে। তাৎক্ষণিকভাবে ত্রুটি সংশোধন করা সম্ভব না হলে ঝুঁকি নিয়ন্ত্রণে না আসা পর্যন্ত সংশ্লিষ্ট সিস্টেম সাময়িকভাবে বন্ধ রাখার পরামর্শ দেওয়া হয়েছে।
