১০ বছর গোপনে থাকা পিএইচপি ত্রুটিতে বন্ধ বিশ্বজুড়ে শত শত সরকারি-বেসরকারি ওয়েবসাইট!
অনলাইন দুনিয়ার মূল চালিকাশক্তি প্রোগ্রামিং ভাষা পিএইচপি (PHP)-তে শনাক্ত হয়েছে দুটি অত্যন্ত বিপজ্জনক নিরাপত্তাত্রুটি। সবচেয়ে উদ্বেগের বিষয় হলো, ত্রুটি দুটি কোনো সাধারণ গোলযোগ নয়—এর মাধ্যমে হ্যাকাররা বিনা অনুমতিতে দূর থেকেই যেকোনো সার্ভারের মূল ডেটাবেজ বা ফাইল সিস্টেমে প্রবেশ করতে, ক্ষতিকর কোড চালাতে (Remote Code Execution) এবং পুরো সিস্টেম অচল করে দিতে সক্ষম।
সবচেয়ে চমকপ্রদ তথ্য হলো, সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ (Qualif) ও উইজ (Wiz) কৃত্রিম বুদ্ধিমত্তা (AI) ব্যবহার করে মাত্র কয়েক ঘণ্টার পর্যবেক্ষণে এই দুর্বলতা উন্মোচন করেছে, যা গত এক দশকেরও বেশি সময় ধরে সবার অলক্ষে রয়ে গিয়েছিল!
ইন্টারনেটের ঝুঁকি ও বিস্তারের রূপরেখা
- পিএইচপি চালিত সাইট: শনাক্তযোগ্য ওয়েবসাইটের প্রায় ৭৫%
- ওয়ার্ডপ্রেসের প্রভাব: বিশ্বজুড়ে ৪৩% ওয়েবসাইট সরাসরি পিএইচপি-নির্ভর
- আক্রান্তের সম্ভাব্য সীমা: সিইআরটি-ইইউ মতে ২০০৪ সালের PHP 5 থেকে পরবর্তী সব
বিশ্বজুড়ে রেড অ্যালার্ট: জরুরি ভিত্তিতে বন্ধ প্রধান প্রধান ওয়েবসাইট
যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (NSA) এবং যুক্তরাজ্যের NCSC থেকে স্পষ্ট জানানো হয়েছে—যদি তাৎক্ষণিক প্যাচ বা সিকিউরিটি আপডেট দেওয়া সম্ভব না হয়, তবে সার্ভার অফলাইনে রাখাই একমাত্র নিরাপদ উপায়।
নেদারল্যান্ডস: জাতীয় সাইবার নিরাপত্তা কেন্দ্র, কৌশলগত রটারডাম বন্দর, জাতীয় ফুটবল সংস্থা (KNVB), শীর্ষ ৫টি রাজনৈতিক দল এবং একাধিক হাসপাতালের সাইট বন্ধ করে দেওয়া হয়েছে।
ফিনল্যান্ড ও ফ্রান্স: সরকারি নেটওয়ার্কের তথ্যপ্রযুক্তি পরিষেবা ‘ভালতোরি’ সতর্কতামূলকভাবে পরিষেবা স্থগিত করেছে; ফ্রান্সে স্থানীয় প্রশাসনের সাইটও অফলাইন করা হয়েছে।
ডেনমার্ক ও যুক্তরাজ্য: ডেনমার্কের জাতীয় স্কুল যোগাযোগ প্ল্যাটফর্ম বন্ধের পাশাপাশি বিবিসির ‘ডক্টর হু’ সহ বেশ কিছু নির্দিষ্ট প্ল্যাটফর্ম সাময়িক বিভ্রাটের মুখে পড়েছে।
“অত্যাধুনিক এআই মডেল ব্যবহার করে হ্যাকাররা অত্যন্ত দ্রুত সাইবার হামলার ছক তৈরি করতে পারছে। কোনো নির্দিষ্ট সাইট নয়, বরং দুর্বল পিএইচপি সংস্করণ ব্যবহারকারী সব সার্ভারে একযোগে স্বয়ংক্রিয় হামলার ঝুঁকি তৈরি হয়েছে।”— ওপেনএআই (OpenAI)
সাইবার বিশেষজ্ঞদের পরামর্শ ও তাৎক্ষণিক করণীয়
ক্লাউডফ্লেয়ার (Cloudflare) ইতোমধ্যে নিশ্চিত করেছে যে প্রাথমিক মাত্রার আক্রমণ শুরু হয়ে গেছে। যেকোনো ব্যক্তি, প্রতিষ্ঠান বা ডোমেইন মালিকের জন্য নিরাপত্তা বিশেষজ্ঞদের দেওয়া মূল নির্দেশনাগুলো নিচে দেওয়া হলো:
১. জরুরি সংস্করণ আপগ্রেড: পিএইচপি Foundation-এর প্রকাশিত সর্বশেষ নিরাপত্তা প্যাচ অবিলম্বে ইনস্টল করুন। বিশেষ করে PHP 8.1 বা তার আগের ভার্সন দ্রুত আপডেট করা জরুরি।
২. ইনফ্রাস্ট্রাকচার ম্যাপিং: আপনার প্রতিষ্ঠানের কোনো গোপন বা তৃতীয় পক্ষের সিস্টেমে ব্যাকএন্ড হিসেবে পিএইচপি চলছে কি না, তা সঠিকভাবে চিহ্নিত (Identify) করুন।
৩. ফায়ারওয়াল ও ব্যাকডোর অডিট: ক্লাউডফ্লেয়ার বা ডব্লিউএএফ (WAF) ফায়ারওয়াল আপডেট করার পাশাপাশি ইতিমধ্যেই সিস্টেমে কোনো ক্ষতিকর কোড বা ব্যাকডোর যুক্ত হয়েছে কি না, তা গভীরভাবে অডিট করুন।
এনএন/ ২২ অক্টোবর ২০২৬
