পিএইচপির ত্রুটিতে সাইবার হামলার ঝুঁকিতে বিশ্বের ৭০ শতাংশ ওয়েবসাইট
টেকওয়ার্ল্ড ডেস্ক
রবিবার, ২৫ অক্টোবর ২০২৬, ১২:২১
কৃত্রিম বুদ্ধিমত্তা (এআই) ব্যবহার করে ওয়েবসাইট তৈরির বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে এক দশকেরও বেশি সময় ধরে শনাক্ত না হওয়া দুটি গুরুতর নিরাপত্তাত্রুটি খুঁজে পেয়েছেন গবেষকেরা। সাইবার নিরাপত্তা প্রতিষ্ঠান উইজের অনুমান, এ ত্রুটির কারণে ইন্টারনেটের প্রায় ৭০ শতাংশ ওয়েবসাইট ঝুঁকিতে থাকতে পারে। এরই মধ্যে সতর্কতামূলক ব্যবস্থা হিসেবে বিভিন্ন দেশের সরকারি ও বেসরকারি সংস্থা ওয়েবসাইট বন্ধ রেখেছে। সংশোধনী প্রকাশের পরও কিছু ব্যবস্থায় হামলার চেষ্টা শুরু হয়েছে বলে জানিয়েছেন বিশেষজ্ঞরা।
বার্তা সংস্থা রয়টার্স, এএফপি ও বিবিসির প্রতিবেদন অনুযায়ী, নেদারল্যান্ডস, ফিনল্যান্ড ও ফ্রান্সের বিভিন্ন সরকারি সংস্থা সতর্কতামূলক পদক্ষেপ হিসেবে ওয়েবসাইট বন্ধ করেছে। যুক্তরাজ্যের এডিনবরা কাউন্সিল এবং বিবিসির কয়েকটি অনুষ্ঠানভিত্তিক ওয়েবপেজও পাওয়া যায়নি। তবে এসব ওয়েবসাইট বন্ধ হওয়ার সঙ্গে পিএইচপির নিরাপত্তাত্রুটির সরাসরি সম্পর্ক নিশ্চিত হয়নি।
যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ) গত বুধবার (২১ অক্টোবর) সতর্ক করে বলেছে, দ্রুত ত্রুটি সংশোধন সম্ভব না হলে সংশ্লিষ্ট প্রতিষ্ঠানগুলোর ওয়েবসাইট বন্ধ রাখা উচিত। সংস্থাটির মতে, ত্রুটিগুলো কাজে লাগিয়ে হ্যাকাররা সার্ভারের ফাইল সিস্টেম বা ডেটাবেজে সরাসরি প্রবেশ করতে পারে।
বিভিন্ন দেশের ওয়েবসাইট বন্ধ
নেদারল্যান্ডসে দেশটির জাতীয় সাইবার নিরাপত্তা কেন্দ্র, সরকারি পোর্টাল ওভারহেইড ডটএনএল, রটারডাম বন্দর, জাতীয় ফুটবল সংস্থা কেএনভিবি, পাঁচটি বৃহত্তম রাজনৈতিক দলের ওয়েবসাইট এবং কয়েকটি হাসপাতালের ওয়েবসাইট বন্ধ করা হয়েছে।
ফিনল্যান্ডের সরকারি তথ্যপ্রযুক্তি পরিষেবা প্রদানকারী প্রতিষ্ঠান ভালতোরি সতর্কতামূলক ব্যবস্থা হিসেবে সরকারি নেটওয়ার্কের ওয়েব পরিষেবা বন্ধ করে দেয়। ফ্রান্সের স্বরাষ্ট্র মন্ত্রণালয়ও নিরাপত্তা হালনাগাদের অপেক্ষায় স্থানীয় প্রশাসনের ওয়েবসাইটগুলো সাময়িকভাবে বন্ধ রাখে।
ডেনমার্কের পৌরসভাগুলোর তথ্যপ্রযুক্তি প্রতিষ্ঠান কমবিটও কয়েকটি পরিষেবা বন্ধ করেছে। এর মধ্যে দেশটির জাতীয় স্কুল যোগাযোগ প্ল্যাটফর্ম রয়েছে।
যুক্তরাজ্যের এডিনবরা কাউন্সিলের ওয়েবসাইটের পাশাপাশি বিবিসির ‘ডক্টর হু’ ও ‘দ্য ট্রেইটরস’-এর মতো কয়েকটি অনুষ্ঠানের ওয়েবপেজও পাওয়া যায়নি। তবে এসব সাইট বন্ধ হওয়ার সঙ্গে পিএইচপির ত্রুটির যোগসূত্র নিশ্চিত হয়নি।
বাংলাদেশেও পিএইচপির নিরাপত্তাত্রুটি নিয়ে সতর্কতামূলক ব্যবস্থা নেওয়া হয়েছে। সরকারি সাইবার নিরাপত্তা সংস্থা বিজিডি ই-গভ সার্ট (BGD e-GOV CIRT) ২২ অক্টোবর এ বিষয়ে উচ্চ ঝুঁকির সতর্কতা জারি করে। সংস্থাটি সরকারি প্রতিষ্ঠান, আর্থিক প্রতিষ্ঠান, টেলিযোগাযোগ অপারেটরসহ সংশ্লিষ্ট প্রতিষ্ঠানগুলোকে সার্ভারে পিএইচপির কোন সংস্করণ ব্যবহার করা হচ্ছে, তা যাচাই করে দ্রুত নিরাপত্তা হালনাগাদ করার পরামর্শ দেয়।
নিরাপত্তাঝুঁকির কারণে বাংলাদেশ ব্যাংকের ওয়েবসাইটের পাশাপাশি অগ্রণী ব্যাংক, জনতা ব্যাংক ও বেঙ্গল কমার্শিয়াল ব্যাংকের ওয়েবসাইট বন্ধ রাখা হয়। এ ছাড়া ভূমি মন্ত্রণালয়ও তাদের ডিজিটাল ভূমিসেবা সাময়িকভাবে বন্ধ রেখে রক্ষণাবেক্ষণের কাজ করে। আজ (২৫ অক্টোবর) বাংলাদেশ ব্যাংকের ওয়েবসাইট আবার সচল হয়।
এআইয়ে শনাক্ত গুরুতর ত্রুটি
সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ ও উইজের গবেষকেরা এআই ব্যবহার করে পিএইচপির নিরাপত্তাত্রুটি দুটি শনাক্ত করেন। প্রতিষ্ঠান দুটির দাবি, ত্রুটিগুলো এক দশকেরও বেশি সময় ধরে শনাক্তের বাইরে ছিল।
উইজ জানিয়েছে, অত্যাধুনিক এআই মডেল ব্যবহার করে কয়েক ঘণ্টার মধ্যে একাধিক অ্যাপ্লিকেশনে কার্যকর হামলার কৌশল তৈরি ও পরিবর্তন করা সম্ভব হয়েছে। প্রতিষ্ঠানটির হিসাবে, ইন্টারনেটের প্রায় ৭০ শতাংশ ওয়েবসাইট ঝুঁকিতে থাকতে পারে। তবে বিবিসি জানিয়েছে, এ পরিসংখ্যান স্বাধীনভাবে যাচাই করা সম্ভব হয়নি।
ওপেনএআই এক ব্লগ পোস্টে সমস্যাটিকে সাম্প্রতিক সময়ের অন্যতম গুরুত্বপূর্ণ নিরাপত্তা সমস্যার একটি বলে উল্লেখ করেছে।
বিশেষজ্ঞদের আশঙ্কা, হ্যাকাররা আলাদা ওয়েবসাইটকে লক্ষ্যবস্তু করার বদলে ইন্টারনেটজুড়ে পিএইচপির দুর্বল সংস্করণ ব্যবহার করা সার্ভার খুঁজে বের করে হামলা চালাতে পারে। এতে বিপুলসংখ্যক সার্ভারে অনুপ্রবেশের ঝুঁকি তৈরি হয়েছে।
কেন ঝুঁকিতে বিপুলসংখ্যক ওয়েবসাইট
ওয়েবসাইট তৈরিতে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপি। ওয়েব প্রযুক্তিবিষয়ক পর্যবেক্ষক প্রতিষ্ঠান ডব্লিউথ্রিটেকসের তথ্য অনুযায়ী, যেসব ওয়েবসাইটের প্রোগ্রামিং ভাষা শনাক্ত করা যায়, তার প্রায় ৭৫ শতাংশে পিএইচপি ব্যবহৃত হয়। এ ভাষার ওপর নির্ভরশীল ওয়ার্ডপ্রেস দিয়ে বিশ্বজুড়ে প্রায় ৪৩ শতাংশ ওয়েবসাইট পরিচালিত হয়।
ওয়ার্ডপ্রেস ছাড়াও দ্রুপাল, জুমলা ও ম্যাজেন্টার মতো প্ল্যাটফর্মে পিএইচপি ব্যবহৃত হয়। ফলে সরকারি পোর্টাল, সংবাদমাধ্যম, অনলাইন বিপণনব্যবস্থা ও ছোট প্রতিষ্ঠানের ওয়েবসাইটও ঝুঁকিতে পড়তে পারে।
সাইবার নিরাপত্তা প্রতিষ্ঠান সোফোসের কাউন্টার থ্রেট ইউনিটের বিশেষজ্ঞ ডন স্মিথ বিবিসিকে বলেন, হ্যাকারদের কাছে এ দুর্বলতা অগ্রাধিকারপ্রাপ্ত লক্ষ্য হতে পারে। তার মতে, শুধু নিরাপত্তা হালনাগাদ ইনস্টল করাই যথেষ্ট নয়, কোনো প্রতিষ্ঠানের কোথায় কোথায় পিএইচপি চলছে, তা শনাক্ত করাও বড় চ্যালেঞ্জ।
ক্লাউডফ্লেয়ারের প্রধান প্রযুক্তি কর্মকর্তা ডেন কেইনেখট সামাজিক যোগাযোগমাধ্যম এক্সে জানিয়েছেন, নিরাপত্তাত্রুটিকে কাজে লাগিয়ে প্রাথমিক পর্যায়ের হামলা শুরু হয়েছে। হামলার নতুন কৌশল সামনে আসায় প্রতিষ্ঠানটি ফায়ারওয়ালের সুরক্ষাব্যবস্থা হালনাগাদ করছে। তবে এটিকে সাময়িক প্রতিরোধমূলক ব্যবস্থা উল্লেখ করে তিনি দ্রুত নিরাপত্তা হালনাগাদ ইনস্টল করার পরামর্শ দিয়েছেন।
দ্রুত নিরাপত্তা হালনাগাদের আহ্বান
পিএইচপির নির্মাতারা মঙ্গলবার দুটি গুরুতর নিরাপত্তাত্রুটি শনাক্ত হওয়ার কথা জানান। বুধবার ত্রুটি সংশোধন করে নতুন সংস্করণ প্রকাশ করা হয়।
ইউরোপ, অস্ট্রেলিয়া, জাপান ও যুক্তরাজ্যের সাইবার নিরাপত্তা সংস্থাগুলো পিএইচপি ব্যবহারকারীদের দ্রুত নিরাপত্তা হালনাগাদ ইনস্টল করার আহ্বান জানিয়েছে। যুক্তরাজ্যের জাতীয় সাইবার নিরাপত্তা কেন্দ্র বলেছে, তাৎক্ষণিকভাবে ত্রুটি সংশোধন সম্ভব না হলে ঝুঁকিপূর্ণ ব্যবস্থা পুরোপুরি সুরক্ষিত না হওয়া পর্যন্ত বন্ধ রাখার বিষয়টি বিবেচনা করা উচিত।
ইউরোপীয় ইউনিয়নের কম্পিউটার ইমার্জেন্সি রেসপন্স টিম (সিইআরটি-ইইউ) জানিয়েছে, ত্রুটিগুলোর কারণে ব্যবহারকারীর অনুমতি ছাড়াই দূর থেকে কোড চালানো সম্ভব হতে পারে। এতে হ্যাকাররা ক্ষতিকর সফটওয়্যার ইনস্টল করা বা ওয়েবসাইট অচল করে দেওয়ার মতো হামলা চালাতে পারে।
পিএইচপির কোন কোন সংস্করণ আক্রান্ত, তা পুরোপুরি স্পষ্ট নয়। তবে সিইআরটি-ইইউর সতর্কতা অনুযায়ী, ২০০৪ সালে প্রকাশিত পিএইচপি ৫ থেকে পরবর্তী সংস্করণগুলোও ঝুঁকিতে থাকতে পারে। পিএইচপি ফাউন্ডেশন সাম্প্রতিক সংস্করণগুলোর জন্য সংশোধনী প্রকাশ করেছে। পাশাপাশি পিএইচপি ৮.১ বা তার আগের সংস্করণ ব্যবহারকারীদের নতুন সংস্করণে উন্নীত হওয়ার পরামর্শ দেওয়া হয়েছে।
বিশেষজ্ঞরা বলছেন, নিরাপত্তা হালনাগাদ ইনস্টল করার পাশাপাশি কোনো ব্যবস্থায় ইতোমধ্যে অনুপ্রবেশ ঘটেছে কি না, তা পরীক্ষা করা জরুরি। তৃতীয় পক্ষের সফটওয়্যার, হোস্টিং পরিষেবা এবং পিএইচপি ব্যবহার করা অন্যান্য ব্যবস্থার নিরাপত্তা হালনাগাদও নিয়মিত পর্যবেক্ষণ করতে হবে।
