এনবি সংবাদ, আইটি ডেস্ক : ইন্টারনেট দুনিয়ায় বড়সড় সাইবার নিরাপত্তা সংকট তৈরি হয়েছে। ওয়েবসাইট তৈরিতে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপি (PHP)-তে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত করেছেন সাইবার নিরাপত্তা গবেষকেরা। এই ত্রুটির সুযোগ নিয়ে হ্যাকাররা ওয়েবসাইটের সার্ভারে প্রবেশ, গুরুত্বপূর্ণ তথ্য চুরি, ক্ষতিকর সফটওয়্যার ইনস্টল এবং অনলাইন পরিষেবা অচল করে দিতে পারে বলে আশঙ্কা করা হচ্ছে। পরিস্থিতির গুরুত্ব বিবেচনা করে বিশ্বের একাধিক দেশের সরকারি সংস্থা ও সাইবার নিরাপত্তা কর্তৃপক্ষ জরুরি সতর্কতা জারি করেছে।
নিরাপত্তা ঝুঁকি মোকাবিলায় ইতিমধ্যে একাধিক ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছে। ফিনল্যান্ড সরকারের জনসাধারণের জন্য উন্মুক্ত ওয়েব পরিষেবা, নেদারল্যান্ডসের কয়েকটি সরকারি ওয়েবসাইট, এডিনবরা সিটি কাউন্সিলের ওয়েবসাইট এবং বিবিসির কয়েকটি অনুষ্ঠানের ওয়েবপেজে প্রবেশের ক্ষেত্রে সমস্যা দেখা দিয়েছে। তবে এসব ওয়েবসাইটের সবগুলির ক্ষেত্রেই PHP-র নিরাপত্তা ত্রুটিই বন্ধের সরাসরি কারণ কি না, তা নিশ্চিত হয়নি।
সবচেয়ে উদ্বেগের বিষয়, কৃত্রিম বুদ্ধিমত্তা বা এআইয়ের সাহায্যে এক দশকেরও বেশি সময় ধরে অশনাক্ত থাকা এই ত্রুটিগুলি খুঁজে পেয়েছেন গবেষকেরা। সাইবার নিরাপত্তা সংস্থা উইজের (Wiz) দাবি, এআইয়ের মাধ্যমে শনাক্ত হওয়া নিরাপত্তা সমস্যাগুলির মধ্যে এগুলি অন্যতম গুরুতর। বিশেষজ্ঞদের মতে, এই ঘটনা সাইবার নিরাপত্তার ক্ষেত্রে এআইয়ের ক্রমবর্ধমান ভূমিকা এবং একই সঙ্গে সম্ভাব্য বিপদের দিকটিও সামনে নিয়ে এসেছে।
PHP-র নিরাপত্তা ত্রুটি কেন এত বিপজ্জনক?
পিএইচপি একটি বহুল ব্যবহৃত প্রোগ্রামিং ভাষা। ওয়েবসাইটের বিভিন্ন কার্যক্রম পরিচালনা, ব্যবহারকারীর তথ্য প্রক্রিয়াকরণ এবং সার্ভারের সঙ্গে ওয়েবপেজের যোগাযোগের মতো গুরুত্বপূর্ণ কাজে এটি ব্যবহৃত হয়। বিশ্বের বহু ওয়েবসাইট এবং কনটেন্ট ম্যানেজমেন্ট সিস্টেম এই প্রযুক্তির ওপর নির্ভরশীল।
ওয়ার্ডপ্রেস (WordPress), ড্রুপাল (Drupal), জুমলা (Joomla) এবং ম্যাজেন্টোর (Magento) মতো জনপ্রিয় ওয়েব প্ল্যাটফর্মেও PHP ব্যবহৃত হয়। এ ছাড়া বিভিন্ন ওয়েব হোস্টিং পরিষেবা, সার্ভার কন্ট্রোল প্যানেল এবং তৃতীয় পক্ষের সফটওয়্যারের মধ্যেও এই প্রোগ্রামিং ভাষা কাজ করে।
সাইবার নিরাপত্তা সংস্থাগুলির আশঙ্কা, PHP-র ত্রুটিগুলি কাজে লাগিয়ে আক্রমণকারীরা নির্দিষ্ট পরিস্থিতিতে ব্যবহারকারীর অনুমোদন ছাড়াই দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে। এ ধরনের আক্রমণকে প্রযুক্তির ভাষায় ‘রিমোট কোড এক্সিকিউশন’ বলা হয়।
এই সুযোগ কাজে লাগাতে পারলে হ্যাকাররা সার্ভারের ফাইল সিস্টেম বা ডেটাবেসে প্রবেশের চেষ্টা করতে পারে। ফলে ওয়েবসাইটের গুরুত্বপূর্ণ তথ্য, ব্যবহারকারীর ব্যক্তিগত বিবরণ এবং প্রতিষ্ঠানের গোপন নথি ঝুঁকির মুখে পড়তে পারে। একই সঙ্গে ওয়েবসাইটের নিয়ন্ত্রণ দখল, তথ্য পরিবর্তন কিংবা পরিষেবা বন্ধ করে দেওয়ার আশঙ্কাও রয়েছে।
ইউরোপীয় ইউনিয়নের কম্পিউটার ইমার্জেন্সি রেসপন্স টিম (CERT-EU) জানিয়েছে, ত্রুটিগুলির ঝুঁকি মূল্যায়ন থেকে অনুমোদন ছাড়াই দূরবর্তী কোড চালানোর সম্ভাবনা উঠে এসেছে। তবে বাস্তবে কোন ওয়েবসাইট কতটা ঝুঁকিতে রয়েছে, তা নির্ভর করবে ব্যবহৃত সফটওয়্যারের সংস্করণ, সার্ভারের কনফিগারেশন এবং নিরাপত্তাব্যবস্থার ওপর।
নিরাপত্তা ত্রুটি মেরামতে জরুরি আপডেট
PHP-র নিরাপত্তা ত্রুটিগুলি সংশোধনের জন্য বুধবার বিকেলে সংশ্লিষ্ট কর্তৃপক্ষ আপডেট প্রকাশ করে। সফটওয়্যারের দুর্বলতা দূর করতে প্রকাশিত এই ধরনের সংশোধনীকে সাধারণত ‘প্যাচ’ বলা হয়।
যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার (NCSC), ইউরোপীয় ইউনিয়নের সংশ্লিষ্ট কর্তৃপক্ষ এবং অস্ট্রেলিয়ার সাইবার নিরাপত্তা সংস্থাগুলি PHP ব্যবহারকারী প্রতিষ্ঠানগুলিকে দ্রুত প্রয়োজনীয় আপডেট ইনস্টল করার পরামর্শ দিয়েছে।
NCSC-র নির্দেশনায় বলা হয়েছে, তাৎক্ষণিকভাবে নিরাপত্তা ত্রুটি সংশোধন করা সম্ভব না হলে সংশ্লিষ্ট প্রতিষ্ঠানগুলির সাময়িকভাবে ঝুঁকিপূর্ণ সিস্টেম বন্ধ রাখার বিষয়টি বিবেচনা করা উচিত। নিরাপত্তা নিশ্চিত না হওয়া পর্যন্ত ওয়েবসাইট চালু রাখলে আক্রমণের ঝুঁকি বাড়তে পারে।
যুক্তরাষ্ট্রের ন্যাশনাল সিকিউরিটি এজেন্সি (NSA) সামাজিক যোগাযোগমাধ্যম এক্সে একই ধরনের সতর্কবার্তা দিয়েছে। সংস্থাটি জানিয়েছে, প্রয়োজনীয় আপডেট ইনস্টল করা সম্ভব না হলে প্রতিষ্ঠানগুলির ঝুঁকিপূর্ণ সিস্টেম অফলাইনে রাখার কথা বিবেচনা করা উচিত।
হোয়াইট হাউসও জানিয়েছে, এই সমস্যা দ্রুত সমাধানের জন্য মার্কিন সরকারি সংস্থাগুলি শীর্ষস্থানীয় এআই গবেষণাগারগুলির সঙ্গে কাজ করছে।
ফিনল্যান্ড, নেদারল্যান্ডস ও যুক্তরাজ্যে ওয়েবসাইট বন্ধ
নিরাপত্তা ঝুঁকির কারণে কয়েকটি দেশ ও প্রতিষ্ঠানের ওয়েব পরিষেবা সাময়িকভাবে বন্ধ রাখা হয়েছে।
ফিনল্যান্ড সরকার জনসাধারণের জন্য উন্মুক্ত সরকারি ওয়েব পরিষেবা সাময়িকভাবে বন্ধ করে দেয়। নেদারল্যান্ডসের জাতীয় সাইবার নিরাপত্তা সংস্থাও নিজেদের ওয়েবসাইট অফলাইনে রাখার কথা জানায়।
এ ছাড়া নেদারল্যান্ডসের জনস্বাস্থ্য ও পরিবেশবিষয়ক জাতীয় প্রতিষ্ঠান এবং দেশটির পার্লামেন্টের নিম্নকক্ষ টুইডে কামারের ওয়েবসাইটেও প্রবেশ করা যাচ্ছিল না।
যুক্তরাজ্যের এডিনবরা সিটি কাউন্সিলের ওয়েবসাইটও অপ্রবেশযোগ্য হয়ে পড়ে। বিবিসির জনপ্রিয় অনুষ্ঠান ‘ডক্টর হু’ এবং ‘দ্য ট্রেইটার্স’-এর কয়েকটি ওয়েবপেজেও একই ধরনের সমস্যা দেখা যায়।
তবে এসব ওয়েবসাইট বন্ধ হওয়ার সঙ্গে PHP-র নিরাপত্তা ত্রুটির সরাসরি সম্পর্ক রয়েছে কি না, সংশ্লিষ্ট সব প্রতিষ্ঠান তা নিশ্চিত করেনি।
উইকিপিডিয়ার পরিচালনাকারী উইকিমিডিয়া ফাউন্ডেশন জানিয়েছে, তারা নিরাপত্তা ত্রুটিগুলি সংশোধনের কাজ করছে। সতর্কতামূলক ব্যবস্থা হিসেবে কয়েকটি সিস্টেমও সাময়িকভাবে বন্ধ রাখা হয়েছে। এর ফলে বুধবার উইকিপিডিয়ার কিছু পরিষেবা ব্যবহার করতে গিয়ে সমস্যায় পড়েন ব্যবহারকারীরা।
অন্যদিকে, শিল্পকর্ম প্রদর্শনের অনলাইন প্ল্যাটফর্ম ডিভিয়্যান্টআর্ট (DeviantArt) তাদের ওয়েবসাইটে সাময়িক রক্ষণাবেক্ষণের বার্তা প্রকাশ করে। তবে এই সমস্যার সঙ্গে PHP-র নিরাপত্তা ত্রুটির সম্পর্ক রয়েছে কি না, তা স্পষ্ট করা হয়নি।
ইন্টারনেটের প্রায় ৭০ শতাংশ কি ঝুঁকিতে?
সাইবার নিরাপত্তা সংস্থা উইজের অনুমান, PHP-র এই নিরাপত্তা সমস্যার প্রভাব ইন্টারনেটের প্রায় ৭০ শতাংশ পর্যন্ত বিস্তৃত হতে পারে। তবে এই পরিসংখ্যান স্বাধীনভাবে যাচাই করা সম্ভব হয়নি।
ইন্টারনেটের এত বড় অংশ ঝুঁকির মুখে পড়ার আশঙ্কার কারণ হলো PHP-র ব্যাপক ব্যবহার। অনেক ওয়েবসাইটে এই প্রোগ্রামিং ভাষা সরাসরি দৃশ্যমান না হলেও পেছনের সার্ভার, কনটেন্ট ম্যানেজমেন্ট সিস্টেম কিংবা হোস্টিং পরিষেবার মাধ্যমে এটি কাজ করে।
সাইবার নিরাপত্তা সংস্থা হান্ট্রেসের মতে, ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা ও ম্যাজেন্টোর মতো প্ল্যাটফর্ম ছাড়াও বহু শেয়ার্ড হোস্টিং পরিষেবা এবং সার্ভার কন্ট্রোল প্যানেলে PHP ব্যবহৃত হয়। ফলে কোনও প্রতিষ্ঠানের পক্ষে নিজেদের সব ওয়েব পরিষেবায় PHP রয়েছে কি না, তা চিহ্নিত করাও কঠিন হতে পারে।
বিশেষজ্ঞদের মতে, নিরাপত্তা ত্রুটির প্রকৃত প্রভাব নির্ধারণ করতে হলে শুধু প্রধান ওয়েবসাইট পরীক্ষা করলেই চলবে না। সংশ্লিষ্ট সার্ভার, পুরোনো অ্যাপ্লিকেশন, তৃতীয় পক্ষের সফটওয়্যার এবং অন্যান্য অনলাইন পরিষেবাও খতিয়ে দেখতে হবে।
এআইয়ের সাহায্যে ধরা পড়ল এক দশকের পুরোনো ত্রুটি
এই ঘটনার আরেকটি গুরুত্বপূর্ণ দিক হলো, নিরাপত্তা ত্রুটিগুলি শনাক্ত করতে কৃত্রিম বুদ্ধিমত্তার ব্যবহার।
সাইবার নিরাপত্তা গবেষণা সংস্থা ক্যালিফ (Calif) এবং উইজের গবেষকেরা PHP-র দুর্বলতাগুলি খুঁজে পান। এই কাজের সঙ্গে যুক্ত ছিল ওপেনএআইয়ের শুরু করা ‘প্যাচ দ্য প্ল্যানেট’ কর্মসূচি। এই উদ্যোগের মাধ্যমে গবেষকেরা ওয়েব ডেভেলপমেন্ট প্রযুক্তির ত্রুটি শনাক্ত ও সংশোধনের জন্য উন্নত এআই সরঞ্জাম ব্যবহারের সুযোগ পান। PHP ফাউন্ডেশনও এই উদ্যোগের সঙ্গে যুক্ত ছিল।
ওপেনএআইয়ের একটি ব্লগ পোস্টে এই আবিষ্কারকে সাম্প্রতিক সময়ের অন্যতম গুরুত্বপূর্ণ সাইবার নিরাপত্তা সমস্যা হিসেবে বর্ণনা করা হয়েছে। সংস্থাটি আরও জানিয়েছে, প্রায় একই সময়ে তাদের নিজস্ব এক গবেষকও সমস্যাটি শনাক্ত করেছিলেন।
উইজের তথ্য অনুযায়ী, ত্রুটিগুলি এক দশকেরও বেশি সময় ধরে অশনাক্ত ছিল। উন্নত এআই সরঞ্জাম ব্যবহারের কয়েক সপ্তাহের মধ্যেই গবেষকেরা সমস্যাগুলি চিহ্নিত করতে সক্ষম হন।
উইজ জানিয়েছে, উন্নত এআই মডেলগুলি বিভিন্ন অ্যাপ্লিকেশনের জন্য কার্যকর আক্রমণ-পদ্ধতি তৈরি ও পরীক্ষা করার প্রক্রিয়াকে দ্রুত করেছে। আগে যে কাজ করতে অনেক বেশি সময় লাগতে পারত, এআইয়ের সাহায্যে তা কয়েক ঘণ্টার মধ্যে করা সম্ভব হয়েছে বলে সংস্থাটির দাবি।
তবে এআইয়ের মাধ্যমে নিরাপত্তা ত্রুটি শনাক্ত করার সাফল্যের পাশাপাশি এর অপব্যবহারের আশঙ্কাও রয়েছে। একই প্রযুক্তি ব্যবহার করে গবেষকেরা যেমন দুর্বলতা খুঁজে বের করতে পারেন, তেমনই অপরাধীরাও নিরাপত্তাব্যবস্থার ফাঁক খোঁজার চেষ্টা করতে পারে।
ইতিমধ্যেই কি শুরু হয়েছে সাইবার হামলা?
নিরাপত্তা বিশেষজ্ঞদের আশঙ্কা, এই দুর্বলতাগুলি সাইবার অপরাধীদের কাছে গুরুত্বপূর্ণ লক্ষ্য হয়ে উঠতে পারে। কারণ, PHP-র ব্যবহার ব্যাপক এবং দুর্বল সার্ভারে প্রবেশের সুযোগ পেলে আক্রমণকারীরা বড় ধরনের ক্ষতি করতে পারে।
সোফোস কাউন্টার থ্রেট ইউনিটের সাইবার নিরাপত্তা বিশেষজ্ঞ ডন স্মিথের মতে, হ্যাকারদের কাছে এই ত্রুটিগুলি অগ্রাধিকারপ্রাপ্ত লক্ষ্য হয়ে উঠতে পারে। তাঁর বক্তব্য, সমস্যার সমাধান শুধু আপডেট ইনস্টল করার মধ্যেই সীমাবদ্ধ নয়। কোনও প্রতিষ্ঠানের কোথায় কোথায় PHP চলছে, তা শনাক্ত করা এবং প্রতিটি ব্যবস্থায় প্রয়োজনীয় সংশোধনী প্রয়োগ করাও অত্যন্ত গুরুত্বপূর্ণ।
ইন্টারনেট পরিকাঠামো সংস্থা ক্লাউডফ্লেয়ারের প্রযুক্তি বিভাগের প্রধান ডেন কেনেখট জানিয়েছেন, তাঁরা ইতিমধ্যেই প্রাথমিক পর্যায়ের আক্রমণের লক্ষণ দেখতে পাচ্ছেন। নতুন আক্রমণ-পদ্ধতি সামনে আসার সঙ্গে সঙ্গে নিরাপত্তাব্যবস্থা আরও শক্তিশালী করা হচ্ছে বলেও তিনি জানান।
তবে এই বক্তব্য থেকে সব ওয়েবসাইটে হামলা হয়েছে বলে ধরে নেওয়া যাবে না। কোন প্রতিষ্ঠান আক্রান্ত হয়েছে এবং কতটা ক্ষতি হয়েছে, তা নির্দিষ্টভাবে যাচাই করা প্রয়োজন।
বিশেষজ্ঞদের মতে, আপডেট ইনস্টল করার পরও সার্ভারের কার্যক্রম পর্যবেক্ষণ করতে হবে। কোনও অস্বাভাবিক লগইন, সন্দেহজনক ফাইল তৈরি, অচেনা কোড চালানো কিংবা অস্বাভাবিক নেটওয়ার্ক কার্যক্রম দেখা গেলে দ্রুত তদন্ত করা জরুরি।
PHP-র পুরোনো সংস্করণ ব্যবহারকারীদের জন্য সতর্কতা
CERT-EU জানিয়েছে, এই নিরাপত্তা সমস্যার প্রভাব PHP 5 থেকে শুরু করে একাধিক পুরোনো সংস্করণ পর্যন্ত বিস্তৃত হতে পারে। PHP 5 প্রথম প্রকাশিত হয়েছিল ২০০৪ সালে। তবে ঠিক কোন কোন সংস্করণ এবং কনফিগারেশন আক্রান্ত, তা নির্ধারণের জন্য সংশ্লিষ্ট নিরাপত্তা বিজ্ঞপ্তি ও সফটওয়্যার সংস্করণের তথ্য যাচাই করা প্রয়োজন।
PHP ফাউন্ডেশন সংশোধনী প্রকাশ করেছে সাম্প্রতিক সংস্করণগুলির জন্য। অন্যদিকে, PHP 8.1 বা তার আগের সংস্করণ ব্যবহারকারীদের নতুন সমর্থিত সংস্করণে উন্নীত হওয়ার পরামর্শ দেওয়া হয়েছে।
এখানে একটি বিষয় গুরুত্বপূর্ণ। শুধু ওয়েবসাইটের মূল সফটওয়্যার আপডেট করলেই সব ঝুঁকি দূর নাও হতে পারে। হোস্টিং পরিষেবা, প্লাগইন, থিম, সার্ভার কন্ট্রোল প্যানেল এবং PHP-নির্ভর অন্যান্য সফটওয়্যারও পরীক্ষা করা প্রয়োজন।
ওয়েবসাইট পরিচালনাকারীদের উচিত হোস্টিং সংস্থা ও সফটওয়্যার সরবরাহকারীদের কাছ থেকে প্রয়োজনীয় নিরাপত্তা নির্দেশনা সংগ্রহ করা। আপডেট করার আগে ব্যাকআপ রাখা, পরিবর্তনের পর ওয়েবসাইটের কার্যকারিতা পরীক্ষা করা এবং সার্ভারের নিরাপত্তা লগ পর্যবেক্ষণ করাও গুরুত্বপূর্ণ।
ওয়েবসাইট সুরক্ষিত রাখতে এখন কী করবেন?
PHP ব্যবহারকারী প্রতিষ্ঠানগুলির জন্য এই মুহূর্তে সবচেয়ে জরুরি কাজ হলো ঝুঁকি চিহ্নিত করা এবং দ্রুত নিরাপত্তাব্যবস্থা কার্যকর করা।
প্রথমত, ওয়েবসাইট ও সার্ভারে PHP-র কোন সংস্করণ চলছে, তা পরীক্ষা করতে হবে। দ্বিতীয়ত, সংশ্লিষ্ট নিরাপত্তা সংশোধনী প্রকাশিত হয়ে থাকলে সেটি দ্রুত ইনস্টল করতে হবে। তৃতীয়ত, পুরোনো বা আর সমর্থন না পাওয়া সংস্করণ ব্যবহার করলে সমর্থিত সংস্করণে উন্নীত হওয়ার পরিকল্পনা করতে হবে।
যেসব প্রতিষ্ঠান তাৎক্ষণিকভাবে নিরাপত্তা ত্রুটি সংশোধন করতে পারছে না, তাদের ঝুঁকির মাত্রা বিবেচনা করে আক্রান্ত সিস্টেম সাময়িকভাবে অফলাইনে রাখার কথা ভাবতে হবে। পাশাপাশি, আগে থেকেই কেউ সার্ভারে প্রবেশ করেছে কি না, তার লক্ষণও খুঁজে দেখা প্রয়োজন।
আপডেট ইনস্টল করার পর তৃতীয় পক্ষের সফটওয়্যার সরবরাহকারীদের নিরাপত্তা বিজ্ঞপ্তির ওপর নজর রাখতে হবে। কারণ, PHP-র সঙ্গে যুক্ত অন্য সফটওয়্যারেও সংশোধনী প্রয়োজন হতে পারে।
সব মিলিয়ে, PHP-র এই নিরাপত্তা ত্রুটি বিশ্বজুড়ে ওয়েবসাইট পরিচালনাকারীদের জন্য বড় সতর্কবার্তা। এআইয়ের সাহায্যে বহু বছর ধরে অশনাক্ত থাকা দুর্বলতা সামনে আসা যেমন প্রযুক্তিগত অগ্রগতির প্রমাণ, তেমনই এটি দেখিয়েছে যে একটি বহুল ব্যবহৃত সফটওয়্যারের সামান্য দুর্বলতাও কীভাবে বিশ্বব্যাপী ডিজিটাল পরিষেবাকে ঝুঁকির মুখে ফেলতে পারে। দ্রুত আপডেট, নিয়মিত নজরদারি এবং সম্ভাব্য অনুপ্রবেশের লক্ষণ শনাক্ত করাই এখন এই পরিস্থিতি মোকাবিলার প্রধান উপায়।
