ইন্টারনেটের বড় অংশ চালানো প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হওয়ার পর বিশ্বজুড়ে ওয়েবসাইট বন্ধ করে দেওয়া হয়েছে। ত্রুটিগুলো কাজে লাগিয়ে হামলাকারীরা কোনো পরিচয় যাচাই ছাড়াই সার্ভারে দূর থেকে কোড চালাতে পারে বলে সতর্ক করেছেন বিশেষজ্ঞরা।
দুটি ত্রুটি আলাদাভাবে সিভিই-২০২৬-১০৯৬১৮ ও সিভিই-২০২৬-১০৯৬১৯ নামে চিহ্নিত; একসঙ্গে এদের ডাকা হচ্ছে ‘পিএইচপি-টু-শেল’। পিএইচপি সিকিউরিটি টিম বলছে, ওয়েব অনুরোধ সামলানো সব পিএইচপি ইনস্টলেশনই এর ঝুঁকিতে। যার মধ্যে রয়েছে পিএইচপি-এফপিএম, অ্যাপাচির মড-পিএইচপি, পিএইচপি-সিজিআই, ফ্রাঙ্কেনপিএইচপি ও লাইটস্পিড। ঝুঁকি সবচেয়ে বেশি মড-পিএইচপিতে।
গত ২১ অক্টোবর বুধবার বিকেলে জরুরি নিরাপত্তা হালনাগাদ প্রকাশ করে পিএইচপির ডেভেলপাররা। ব্যবহারকারীদের পিএইচপি ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ বা ৮.২.৩৫ সংস্করণে যেতে বলা হয়েছে। পিএইচপি ৮.১ বা তার আগের সংস্করণ আর হালনাগাদ পায় না; তাদের দ্রুত সমর্থিত সংস্করণে যাওয়ার পরামর্শ দেওয়া হয়েছে।
সাইবার নিরাপত্তা প্রতিষ্ঠান উইজের হিসাবে ইন্টারনেটের প্রায় ৭০ শতাংশ ওয়েবসাইটে পিএইচপি ব্যবহৃত হয়, যদিও এই সংখ্যা যাচাই করতে পারেনি বিবিসি। উইজ বলছে, এআই ব্যবহার করে শনাক্ত করা সবচেয়ে গুরুতর ত্রুটি এটি। এক দশকেরও বেশি সময় ধরে ত্রুটিগুলো সফটওয়্যারে অজানা ছিল।
ত্রুটিগুলো পাওয়া গেছে ওপেনএআইয়ের ‘প্যাচ দ্য প্ল্যানেট’ কর্মসূচির সহায়তায়। নিরাপত্তা প্রতিষ্ঠান ক্যালিফ ও উইজের গবেষকেরা এআই টুল ব্যবহার করে সেগুলো খুঁজে বের করেন। মূল ত্রুটি নতুন নয়, বদলেছে সেগুলো খুঁজে পাওয়ার ক্ষমতা বলে মন্তব্য করেছেন গবেষক সালিল কানহেরে।
আবিষ্কারের বিস্তারিত তথ্য এই সপ্তাহে সামাজিক যোগাযোগমাধ্যমে ফাঁস হয়ে যাওয়ায় নিরাপত্তা হালনাগাদ ও এর বিশাল পরিসর আগেভাগে ঘোষণা করতে বাধ্য হয় পিএইচপি ফাউন্ডেশন। প্যাচ প্রয়োগ না হওয়া পর্যন্ত অনেক প্রতিষ্ঠান সতর্কতামূলক ব্যবস্থা হিসেবে নিজেদের ওয়েবসাইট বন্ধ রেখেছে।
বন্ধ করা বা আংশিকভাবে অফলাইনে রাখা সাইটের মধ্যে রয়েছে অনলাইন বিশ্বকোষ উইকিপিডিয়ার পরিচালক প্রতিষ্ঠান উইকিমিডিয়ার কিছু সিস্টেম, ফিনল্যান্ডের সরকারি অনলাইন সেবা, নেদারল্যান্ডসের সাইবার নিরাপত্তা সংস্থা ও দেশটির পার্লামেন্টের নিম্নকক্ষ, এডিনবরা কাউন্সিল, জেনেভা বিশ্ববিদ্যালয় এবং বিবিসির কয়েকটি অনুষ্ঠানের পেজ।
যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ) বলছে, দ্রুত হালনাগাদ সম্ভব না হলে সিস্টেম অফলাইনে নিয়ে রাখা উচিত; কারণ এই ত্রুটি সার্ভারের ফাইল সিস্টেম ও ডেটাবেজে সরাসরি ঢোকার পথ করে দিতে পারে। যুক্তরাজ্যের এনসিএসসি, ইউরোপীয় ইউনিয়ন, অস্ট্রেলিয়া, সিঙ্গাপুর ও জাপানের সাইবার সংস্থাও একই পরামর্শ দিয়েছে।
হামলার আশঙ্কা ইতোমধ্যেই তৈরি হয়েছে। ইন্টারনেট অবকাঠামো প্রতিষ্ঠান ক্লাউডফ্লেয়ার জানিয়েছে, ত্রুটি ঘোষণার পর কয়েক ঘণ্টায় তাদের নেটওয়ার্কে ‘লাখ লাখ’ হামলার চেষ্টা হয়েছে; তবে সফল হামলার প্রমাণ এখনো নেই। ই-কমার্স প্রতিষ্ঠান অ্যামাজন বলছে, ত্রুটি প্রকাশ্যে আসার আগেই তাদের বিরুদ্ধে হামলার চেষ্টা লক্ষ্য করা গিয়েছিল।
সাধারণ ব্যবহারকারীদের কী করতে হবে—এ নিয়ে বিশেষজ্ঞদের পরামর্শ, কোনো সেবা পাসওয়ার্ড বদলানোর অনুরোধ জানালে তা গুরুত্ব দিয়ে দেখা এবং এই ঘটনাকে কেন্দ্র করে পাঠানো যেকোনো ফিশিং বার্তা সম্পর্কে সতর্ক থাকা। যারা ওয়েবসাইট চালান, তাঁদের দ্রুত পিএইচপি হালনাগাদ করা এবং অজানা কোনো অনুপ্রবেশের চিহ্ন আছে কি না তা পরীক্ষা করার পরামর্শ দেওয়া হয়েছে।
আপাতত নিশ্চিত নয়, কত ওয়েবসাইট হালনাগাদ হাতে পেয়েছে বা কতগুলো এর আগেই হ্যাক হয়েছে। কত সংস্করণ ঝুঁকিতে আছে—তা নিয়েও স্পষ্ট ধারণা দেয়নি পিএইচপি কর্তৃপক্ষ। শুধু জানানো হয়েছে, পিএইচপি ৫ থেকে পরের প্রায় সব সংস্করণই প্রভাবিত হতে পারে।



