ওয়েবসাইট চালানোর বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে (PHP) দুটি গুরুতর নিরাপত্তা ত্রুটি পাওয়া গেছে। ত্রুটিগুলো কাজে লাগিয়ে লগইন ছাড়াই সার্ভারে কোড চালানো সম্ভব হতে পারে বলে সতর্ক করেছে ইউরোপীয় ইউনিয়নের সাইবার নিরাপত্তা সংস্থা সিইআরটি-ইইউ। এই সতর্কতার পর বুধবার (২১ অক্টোবর) ফিনল্যান্ড, নেদারল্যান্ডস, জার্মানি ও ফ্রান্সসহ কয়েকটি দেশের সরকারি ও প্রাতিষ্ঠানিক ওয়েবসাইট অস্থায়ীভাবে বন্ধ রাখা হয়েছে।
পিএইচপি প্রকল্পের নিরাপত্তা দল বুধবার বিকেলে ত্রুটি সারানো সংস্করণ প্রকাশ করেছে। নতুন সংস্করণগুলো হলো পিএইচপি ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ ও ৮.২.৩৫। প্রতিষ্ঠানটি বলেছে, হালনাগাদটি এখনই বসানো উচিত। তাদের ভাষ্য অনুযায়ী, কিছু আংশিক ব্যবস্থা ঝুঁকি কমাতে পারে, কিন্তু সম্পূর্ণ সমাধান কেবল হালনাগাদই।
পিএইচপি হলো ওয়েবসাইটের সার্ভারে চলা একটি বিনামূল্যের ওপেন সোর্স প্রোগ্রামিং ভাষা। দর্শক কোনো পাতা খুললে সার্ভারে চলা এই ভাষা তথ্য সাজিয়ে ব্রাউজারে পাঠায়। ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা ও ম্যাজেন্টোর মতো জনপ্রিয় কনটেন্ট ম্যানেজমেন্ট সিস্টেম পিএইচপির ওপর চলে। ওয়েব টেকনোলজি ট্র্যাকার ডব্লিউথ্রিটেকসের হিসাবে, যেসব সাইটের সার্ভার ভাষা শনাক্ত করা যায় তাদের প্রায় ৭৫ শতাংশ পিএইচপিতে চলে। আর সব ওয়েবসাইটের প্রায় ৪৩ শতাংশ ওয়ার্ডপ্রেসে, যার চালিকাশক্তিও পিএইচপি। ফলে সংবাদ সাইট, ব্লগ, অনলাইন দোকান, সরকারি পোর্টাল ও প্রতিষ্ঠানের সাইট—সবখানেই ঝুঁকি ছড়াতে পারে।
পিএইচপি কর্তৃপক্ষ জানিয়েছে, ত্রুটিগুলোর একটি সিভিই-২০২৬-১০৯৬১৮, অন্যটি সিভিই-২০২৬-১০৯৬১৯। দুটিরই ঝুঁকির মাত্রা সিভিএসএস ৪.০ স্কেলে ৯ দশমিক ২, অর্থাৎ সমালোচনামূলক। প্রথমটি মেমোরি শেষ হয়ে যাওয়ার সময়ের ত্রুটিকে কাজে লাগায়, দ্বিতীয়টি আগের অনুরোধের পুরোনো অবস্থা (স্টেল গ্লোবাল স্টেট) থেকে সুযোগ তৈরি করে। দুটিই লগইন ছাড়া দূর থেকে কোড চালানোর সুযোগ দিতে পারে। পিএইচপির সতর্কবার্তা অনুযায়ী সবচেয়ে বেশি ঝুঁকিতে আছে অ্যাপাচি সার্ভারের মডিউল হিসেবে বসানো পিএইচপি (মড-পিএইচপি), যেখানে অ্যাপ্লিকেশনের কোড চলার আগেই হামলা শুরু হতে পারে।
পিএইচপি কর্তৃপক্ষ ২০ অক্টোবর ত্রুটিগুলো সম্পর্কে আগাম ঘোষণা দেয় এবং ২১ অক্টোবর ১৪:০০ ইউটিসিতে হালনাগাদ প্রকাশের কথা বলে। তবে ত্রুটির বিবরণ আগেভাগে ছড়িয়ে পড়ায় এবং হামলার প্রাথমিক প্রমাণ পাওয়ায় তারা নির্ধারিত সময়ের আগেই সংস্করণ প্রকাশ করে। সিইআরটি-ইইউ বলছে, হালনাগাদ প্রকাশ পেয়েছে বুধবার ১৩:৩০ ইউটিসিতে।
সতর্কতার পর নেদারল্যান্ডসে ডাচ সাইবার নিরাপত্তা সংস্থা নিজের ওয়েবসাইট বন্ধ করে। এরপর দেশটির জনস্বাস্থ্য ও পরিবেশ ইনস্টিটিউট (আরআইভিএম), সংসদের নিম্নকক্ষ টুইডে কামার, সরকারি পোর্টাল ওভারহাইড ডট এনএল, রটারডাম বন্দর, জাতীয় ফুটবল সংস্থা কেএনভিবি, পাঁচটি বড় রাজনৈতিক দলের সাইট এবং কয়েকটি হাসপাতালের ওয়েবসাইটও অস্থায়ীভাবে বন্ধ করা হয়। ফিনল্যান্ডের রাষ্ট্রীয় আইটি কেন্দ্র ভালতোরি সরকারের পাবলিক ওয়েবসেবা বন্ধ করে। জার্মানির ফেডারেল আইটি সেবাদাতা আইটিজেডবুন্ড কয়েকটি সাইট বন্ধ রাখে। ফ্রান্সের স্বরাষ্ট্র মন্ত্রণালয় জানায়, প্রিফেকচারগুলোর সাইট নিরাপত্তা সমাধানের অপেক্ষায় বন্ধ রাখা হয়েছে। বেলজিয়ামের পররাষ্ট্র মন্ত্রণালয়ও নিজেদের সাইট বন্ধ করে।
ইউরোপের বাইরেও প্রভাব পড়েছে। এডিনবরার কাউন্সিলের ওয়েবসাইট বন্ধ হয়ে যায়। বিবিসির কয়েকটি অনুষ্ঠানের—যেমন ডক্টর হু ও দ্য ট্রেইটরস—পেজও অস্থায়ীভাবে বন্ধ ছিল। শিল্পকলার প্ল্যাটফর্ম ডিভিয়েন্টআর্ট জানায়, তারা রক্ষণাবেক্ষণের জন্য সাময়িকভাবে বন্ধ। উইকিমিডিয়া ফাউন্ডেশন জানায়, পিএইচপি ব্যবহার করা কিছু সিস্টেম সতর্কতামূলকভাবে বন্ধ রাখা হয়েছে।
জার্মান ডিজিটাল মন্ত্রণালয়ের এক মুখপাত্র বলেছেন, সাইট বন্ধ রাখা সম্পূর্ণ প্রতিরোধমূলক এবং কোনো নিরাপত্তা ঘটনা তাদের জানা নেই। ফিনল্যান্ডের ভালতোরি বলেছে, ত্রুটি কাজে লাগানোর কোনো চেষ্টা তারা পায়নি এবং এটি তথ্য ফাঁসের ঘটনা নয়। বেলজিয়ামের সাইবার নিরাপত্তা কেন্দ্র বলেছে, বেলজিয়ান সাইটে হামলার কোনো প্রমাণ তাদের কাছে নেই। অস্ট্রেলিয়ার সাইবার নিরাপত্তা কেন্দ্রও বলেছে, সক্রিয় হামলার প্রমাণ তাদের জানা নেই।
তবে ইন্টারনেট অবকাঠামো কোম্পানি ক্লাউডফ্লেয়ারের প্রধান প্রযুক্তি কর্মকর্তা ডেইন নেখট বলেছেন, প্রাথমিক হামলা শুরু হয়েছে এবং নতুন পথ দেখা দেওয়ার সঙ্গে সঙ্গে তারা প্রতিরোধ ব্যবস্থা হালনাগাদ করছেন। ফায়ারওয়ালের নিয়ম বদলানোকে তিনি ‘সাময়িক ব্যবস্থা’ বলে উল্লেখ করে পিএইচপির হালনাগাদ দ্রুত বসানোর আহ্বান জানান। ওয়ার্ডপ্রেসের নিরাপত্তা প্লাগইন ওয়ার্ডফেন্স সতর্ক করেছে, স্বয়ংক্রিয় আপডেটে এই সমাধান বসবে না। সাইট মালিককে জানতে হবে, তাদের সার্ভারে পিএইচপি হালনাগাদের দায়িত্ব কার। হোস্টিং প্রতিষ্ঠান গোড্যাডি বলেছে, ত্রুটি কাজে লাগিয়ে তথ্য চুরি, সাইট বিকৃতি বা সার্ভারের পূর্ণ নিয়ন্ত্রণ নেওয়া সম্ভব।
বিবিসি জানিয়েছে, ত্রুটিগুলো কৃত্রিম বুদ্ধিমত্তা (এআই) ব্যবহার করে খুঁজে পেয়েছে নিরাপত্তা প্রতিষ্ঠান উইজ ও ক্যালিফ। তারা ওপেনএআইয়ের মডেল ব্যবহার করেছে। ওই প্রতিষ্ঠানগুলোর দাবি, ত্রুটিগুলো এক দশকের বেশি সময় ধরে ধরা পড়েনি। উইজ বলেছে, এআই দিয়ে আবিষ্কৃত ত্রুটিগুলোর মধ্যে এটি সবচেয়ে গুরুতর। তারা অনুমান করেছে, ইন্টারনেটের প্রায় ৭০ শতাংশ এতে প্রভাবিত হতে পারে; তবে বিবিসি বলেছে, এই সংখ্যা তারা স্বতন্ত্রভাবে যাচাই করতে পারেনি। ওপেনএআই এক ব্লগ পোস্টে বলেছে, সাম্প্রতিক সময়ের সবচেয়ে প্রভাবশালী নিরাপত্তা সমস্যাগুলোর একটি এটি।
যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ), যুক্তরাজ্যের জাতীয় সাইবার নিরাপত্তা কেন্দ্র (এনসিএসসি), ইউরোপীয় ইউনিয়ন, জাপান ও অস্ট্রেলিয়ার সাইবার সংস্থা ব্যবহারকারীদের দ্রুত হালনাগাদ অথবা সাইট বন্ধ রাখার পরামর্শ দিয়েছে। জাপানের প্রধানমন্ত্রী সানায়ে তাকাইচি জনসাধারণকে তাদের ওয়েবসাইট পিএইচপিতে চলছে কি না, তা যাচাই করার আহ্বান জানিয়েছেন। হোয়াইট হাউস বলেছে, মার্কিন ফেডারেল সংস্থাগুলো দ্রুত সমাধানের জন্য শীর্ষ এআই ল্যাবগুলোর সঙ্গে কাজ করছে।
বাংলাদেশেও বহু সংবাদ সাইট, ব্লগ, ব্যবসা ও প্রতিষ্ঠানের ওয়েবসাইট ওয়ার্ডপ্রেস ও পিএইচপিতে চলে। এই প্রতিবেদন লেখার সময় পিএইচপি ত্রুটির কারণে দেশে কোনো নির্দিষ্ট সাইট বন্ধ বা আক্রান্ত হওয়ার নিশ্চিত তথ্য পাওয়া যায়নি। কোনো প্রতিষ্ঠান আক্রান্ত হলে তারা সাধারণত তা প্রকাশ্যে জানায় না, তাই ঝুঁকির প্রকৃত পরিমাণ এখনই বলা যাচ্ছে না।
যাঁরা ওয়েবসাইট চালান, তাঁদের প্রথম কাজ হবে হোস্টিং প্যানেল থেকে সার্ভারে চলা পিএইচপির সংস্করণ দেখা। ৮.২.৩৫, ৮.৩.৩৬, ৮.৪.২৭ বা ৮.৫.১২—এই চারটি সংস্করণের কোনো একটিতে হালনাগাদ করতে হবে। পিএইচপি ৮.১ ও তার আগের সংস্করণে প্রকল্পের নিরাপত্তা হালনাগাদ আর আসে না, তাই পুরোনো সংস্করণ ব্যবহারকারীদের সমর্থিত সংস্করণে যেতে হবে অথবা হোস্টিং প্রতিষ্ঠানের সঙ্গে কথা বলতে হবে। স্বয়ংক্রিয় আপডেটের ওপর ভরসা না করে নিজে যাচাই করা জরুরি। হালনাগাদের আগে ব্যাকআপ রাখা, সার্ভারের লগ পরীক্ষা করা এবং সন্দেহজনক কার্যকলাপ দেখা গেলে সাইট সাময়িকভাবে বন্ধ রাখার পরামর্শ দিয়েছেন বিশেষজ্ঞরা।
এখনো যা স্পষ্ট নয়: ঠিক কোন কোন পুরোনো সংস্করণ কতটা ঝুঁকিতে আছে, হামলাকারীরা কোথাও সফল হয়েছে কি না, কোনো তথ্য চুরি হয়েছে কি না এবং বিশ্বে কত ওয়েবসাইট আক্রান্ত হয়েছে—এসব প্রশ্নের নিশ্চিত উত্তর নেই। সিইআরটি-ইইউ বলছে, পিএইচপি ৫ থেকে পরের সব সংস্করণ প্রভাবিত হতে পারে। তারা এই ধারণা প্রকাশ্যে পাওয়া তথ্যের ভিত্তিতে করেছে; পিএইচপি কর্তৃপক্ষ আলাদাভাবে সব সংস্করণের তালিকা দেয়নি।
আগামী কয়েক দিনে আরও প্রতিষ্ঠান সতর্কতামূলকভাবে সাইট বন্ধ রাখতে পারে এবং ধাপে ধাপে হালনাগাদ বসাতে পারে। সাইবার সংস্থাগুলো এখন হামলার লক্ষণ নজরে রাখছে। সাইট মালিকদের পিএইচপি ডট নেটের নিরাপত্তা সতর্কবার্তা ও সিইআরটি-ইইউর পরামর্শ অনুসরণ করতে হবে। পিএইচপি ৮.২ অবশ্য ২০২৬ সালের ৩১ ডিসেম্বরের পর আর নিরাপত্তা হালনাগাদ পাবে না, তাই দীর্ঘমেয়াদে নতুন সংস্করণে যাওয়ার পরিকল্পনাও দরকার।
সতর্কতার মূল কথা হলো, আতঙ্ক নয়, বিলম্ব নয়। ত্রুটিটি সার্ভারের ভেতরে ঢোকার পথ খুলে দিতে পারে, কিন্তু হালনাগাদ বসানো এবং সন্দেহজনক কিছু দেখা গেলে দ্রুত ব্যবস্থা নেওয়াই এখন সবচেয়ে কার্যকর প্রতিরোধ।



