বড় সাইবার হামলার ঝুঁকিতে ৭০ শতাংশ ওয়েবসাইট

ওয়েবসাইট তৈরিতে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তাত্রুটি শনাক্ত হয়েছে। এসব দুর্বলতা কাজে লাগিয়ে হ্যাকাররা পাসওয়ার্ড ছাড়াই দূর থেকে সার্ভারে প্রবেশ, তথ্য চুরি কিংবা ক্ষতিকর সফটওয়্যার স্থাপনের চেষ্টা করতে পারেন। বিশ্বজুড়ে বিপুলসংখ্যক ওয়েবসাইট পিএইচপির ওপর নির্ভরশীল হওয়ায় এ নিয়ে সাইবার নিরাপত্তা মহলে উদ্বেগ তৈরি হয়েছে।

প্রযুক্তিবিষয়ক ওয়েবসাইট টেকক্রাঞ্চের প্রতিবেদনে বলা হয়েছে, গত বুধবার ‘পিএইচপি২শেল’ নামে পরিচিত দুটি নিরাপত্তাত্রুটির তথ্য প্রকাশ্যে আসে। ত্রুটি দুটির শনাক্তকরণ নম্বর CVE-2026-109618 ও CVE-2026-109619। এগুলো সংশোধনে নিরাপত্তা হালনাগাদ প্রকাশ করেছে পিএইচপি ফাউন্ডেশন। তবে সব সার্ভারে হালনাগাদ পৌঁছানো বা ইনস্টল না হওয়ায় ঝুঁকি রয়ে গেছে।

কীভাবে কাজ করে ত্রুটি দুটি?

পিএইচপি একটি ওপেন সোর্স প্রোগ্রামিং ভাষা, যা দিয়ে ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশন তৈরি করা হয়। ওয়ার্ডপ্রেস, ড্রুপাল ও জুমলার মতো জনপ্রিয় প্ল্যাটফর্মেও ভাষাটি ব্যবহৃত হয়।

প্রতিবেদন অনুযায়ী, ২০২৪ সালে ত্রুটি দুটি প্রথম শনাক্ত করা হয়েছিল। তবে সম্প্রতি সাইবার নিরাপত্তা গবেষকেরা এগুলো কাজে লাগিয়ে আক্রমণের কৌশল বের করেন। বিষয়টি পিএইচপি ফাউন্ডেশনকে জানানোর পর ত্রুটি সংশোধনের উদ্যোগ নেওয়া হয়।

এগুলোর অন্যতম ঝুঁকি হলো, আক্রমণের জন্য ব্যবহারকারীকে কোনো লিংকে ক্লিক করা বা ফাইল খুলতে হয় না। আক্রান্ত সার্ভারে নিরাপত্তা হালনাগাদ না থাকলে দূর থেকেই নির্দেশনা চালানোর সুযোগ তৈরি হতে পারে। এ ধরনের আক্রমণকে বলা হয় ‘রিমোট কোড এক্সিকিউশন’।

এর মাধ্যমে সার্ভারে ক্ষতিকর সফটওয়্যার স্থাপন, গুরুত্বপূর্ণ তথ্য চুরি কিংবা ভবিষ্যতে পুনরায় অনুপ্রবেশের পথ তৈরি করতে পারে হামলাকারীরা।

কৃত্রিম বুদ্ধিমত্তার সহায়তায় শনাক্ত

প্রতিবেদনে বলা হয়েছে, ক্যালিফ নামের একটি প্রতিষ্ঠানের নিরাপত্তা গবেষকেরা পিএইচপির কোড বিশ্লেষণের সময় ত্রুটি দুটি শনাক্ত করেন। তাঁরা ওপেনএআই ও ক্লাউড নিরাপত্তা প্রতিষ্ঠান উইজের ‘হ্যাক দ্য প্ল্যানেট’ উদ্যোগের অংশ হিসেবে কাজ করছিলেন। পরে ওপেনএআই ত্রুটি কাজে লাগানোর পরীক্ষামূলক পদ্ধতিগুলো যাচাই করে।

গবেষকেরা জানান, ত্রুটি কাজে লাগানোর প্রক্রিয়ায় কৃত্রিম বুদ্ধিমত্তার সহায়তা নেওয়া হয়েছিল। তবে এ ক্ষেত্রে গবেষকদের নিজস্ব দক্ষতা, পিএইচপির কোড সম্পর্কে জ্ঞান এবং আগের সাইবার হামলার কৌশল সম্পর্কে ধারণাও গুরুত্বপূর্ণ ভূমিকা রেখেছে।

এদিকে, নিরাপত্তা হালনাগাদ প্রকাশের আগেই ত্রুটি দুটি ব্যবহার করে হামলার ঘটনা ঘটেছে বলে জানিয়েছে অ্যামাজন। প্রতিষ্ঠানটির পর্যবেক্ষণে ১৭ অক্টোবরের দিকে এ ধরনের কার্যকলাপের ইঙ্গিত পাওয়া যায়। তবে হামলাকারীরা কীভাবে ত্রুটিগুলোর তথ্য পেয়েছিল, তা নিশ্চিত নয়।

ওয়েবসাইট পরিচালকদের করণীয়

সাইবার নিরাপত্তা প্রতিষ্ঠান পালো অল্টো নেটওয়ার্কস ও ট্রেইল অব বিটসের তথ্য অনুযায়ী, শুক্রবারের মধ্যে ত্রুটি দুটি কাজে লাগিয়ে অনুপ্রবেশ ও পরবর্তী ক্ষতিকর কার্যকলাপের প্রমাণ পাওয়া গেছে। তবে তখনো আক্রান্ত ব্যবস্থাগুলোর পরিচয় নিশ্চিত করা যায়নি।

বিশেষজ্ঞদের আশঙ্কা, ছোট প্রতিষ্ঠান ও ব্যক্তিগত ওয়েবসাইট পরিচালকেরা সময়মতো নিরাপত্তা হালনাগাদ না করায় আগামী দিনগুলোতেও হামলার ঝুঁকি থাকতে পারে। পিএইচপিচালিত ওয়েব সার্ভারের পাশাপাশি বিভিন্ন উন্নয়ন সরঞ্জাম, নেটওয়ার্ক যন্ত্র ও নিরাপত্তা পণ্যেও সংশ্লিষ্ট উপাদান থাকতে পারে।

এ অবস্থায় ওয়েবসাইট পরিচালকদের দ্রুত পিএইচপির নিরাপত্তা হালনাগাদ ইনস্টল, সার্ভারের লগ পরীক্ষা এবং অননুমোদিত প্রবেশের লক্ষণ খতিয়ে দেখার পরামর্শ দেওয়া হয়েছে। পুরোনো সফটওয়্যারে সরাসরি হালনাগাদ করা সম্ভব না হলে বিকল্প নিরাপত্তাব্যবস্থা নেওয়ারও পরামর্শ দিয়েছেন বিশেষজ্ঞরা।

তাঁদের মতে, এ ঘটনা পুরোনো প্রযুক্তির নিরাপত্তা দুর্বলতার পাশাপাশি কৃত্রিম বুদ্ধিমত্তার সাহায্যে নতুন ত্রুটি শনাক্ত করার সক্ষমতাও তুলে ধরেছে। ভবিষ্যতে সাইবার হামলার ঝুঁকি কমাতে নিয়মিত নিরাপত্তা পরীক্ষা ও দ্রুত সফটওয়্যার হালনাগাদ করা জরুরি।