পিএইচপির নিরাপত্তা ত্রুটি যেভাবে বিশ্বজুড়ে সাইবার হামলার সুযোগ করে দিল

জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপি মূলত ওয়েবসাইট হোস্ট করা সার্ভারে ব্যবহৃত হয়ে থাকে। সম্প্রতি কৃত্রিম বুদ্ধিমত্তা (এআই) প্রযুক্তির সহায়তায় প্রোগ্রামিং ভাষাটিতে মারাত্মক দুটি নিরাপত্তাত্রুটি শনাক্ত করেন সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ এবং উইজের গবেষকেরা। পরে পিএইচপি কর্তৃপক্ষ নিরাপত্তাত্রুটিগুলোর সমাধান করে নতুন সংস্করণ প্রকাশ করলেও হ্যাকাররা ত্রুটিগুলো কাজে লাগিয়ে বিভিন্ন ওয়েবসাইটে সাইবার হামলা করছে। এই সাইবার হামলা থেকে রক্ষা পেতে যুক্তরাষ্ট্র, জার্মানি, ফ্রান্স, নেদারল্যান্ডস, জাপানসহ বিভিন্ন দেশের সরকার ও নিরাপত্তা সংস্থাগুলো নজিরবিহীন সতর্কতা জারি করার পাশাপাশি নিজেদের ওয়েবসাইট সাময়িকভাবে বন্ধ করে দিয়েছে।

পিএইচপি মূলত ওয়েবসাইট হোস্ট করা সার্ভারে ব্যবহৃত হয়ে থাকে। মেলবোর্ন বিশ্ববিদ্যালয়ের এআই ও সাইবার নিরাপত্তাবিষয়ক লেকচারার অ্যান্ড্রিউ কুলেন বলেন, বিশ্বের অসংখ্য যন্ত্র মূলত একটি মৌলিক সফটওয়্যারের ওপর নির্ভরশীল। ঠিক সেখানেই এই ত্রুটি বা বাগটি পাওয়া গেছে। এই ত্রুটির সুযোগ নিয়ে একজন হ্যাকার ওয়েবসাইটে নিজের কোড চালাতে পারেন, ওয়েবসাইট পরিবর্তন করে ফেলতে পারেন বা তথ্যভান্ডারে সংরক্ষণ করা ব্যক্তিগত তথ্য প্রকাশ করতে বাধ্য করতে পারেন।

বাংলাদেশের সফটওয়্যার প্রকৌশলী ও প্রযুক্তি উদ্যোক্তা সুমিত সাহা জানিয়েছেন, পিএইচপিতে মেমোরি ব্যবস্থাপনা এবং বিশেষ করে মেমোরি শেষ হয়ে যাওয়ার মতো মারাত্মক ত্রুটি সামলানোর প্রক্রিয়ায় দুর্বলতাগুলো তৈরি হয়েছে। এর ফলে সার্ভারের অভ্যন্তরীণ মেমোরির তথ্য প্রকাশ বা ক্ষতিকর কোড চালানোর সুযোগ তৈরি হতে পারে।

ক্লাউড সিকিউরিটি প্রতিষ্ঠান উইজ জানিয়েছে, সমস্যাটি পিএইচপির ভেতরেই রয়েছে। এর ফলে পিএইচপির যেকোনো সংস্করণে চলা সাধারণ ওয়েবসাইটও ঝুঁকিতে পড়তে পারে। এর মাধ্যমে সাইবার অপরাধীরা সার্ভারের মেমোরি থেকে পাসওয়ার্ড ও অন্যান্য সংবেদনশীল তথ্য হাতিয়ে নিতে পারে। এসব ত্রুটি পিএইচপি কোডবেজে এক দশকেরও বেশি সময় ধরে লুকিয়ে ছিল বলে ধারণা করা হচ্ছে।

এই সাইবার ঝুঁকির নেপথ্যে রয়েছে পিএইচপির কোডিং কাঠামোর গভীরে লুকিয়ে থাকা দীর্ঘদিনের কিছু দুর্বলতা। মূলত মেমোরির অতিরিক্ত ব্যবহার বা মারাত্মক ত্রুটি হ্যান্ডল করার প্রক্রিয়ায় পিএইচপির অভ্যন্তরীণ দুর্বলতার সুযোগ নিয়ে হ্যাকাররা এই হামলাগুলো চালাচ্ছেন। পিএইচপি ৫.৪ থেকে শুরু করে পরবর্তী বিভিন্ন সংস্করণে এক দশকের বেশি সময় ধরে প্রকাশিত বিভিন্ন সংস্করণে এই ত্রুটি কার্যকর থাকলেও এত দিন কেউ জানত না। এই ত্রুটির মাধ্যমে একজন আক্রমণকারী কোনো ধরনের পাসওয়ার্ড বা বৈধ অ্যাকাউন্টের অ্যাকসেস ছাড়াই ইন্টারনেট ব্যবহার করে দূরবর্তী অবস্থান থেকে পুরোনো পিএইচপিচালিত সার্ভারে ক্ষতিকর কোড বা কমান্ড চালাতে পারে। এর ফলে হ্যাকাররা সহজেই ওয়েবসাইটের তথ্যভান্ডার বা সার্ভারের মেমোরি থেকে ব্যবহারকারীদের ব্যক্তিগত তথ্য চুরি করতে পারেন, তথ্য পরিবর্তন করতে পারেন বা পুরো ওয়েবসাইটের নিয়ন্ত্রণ নিয়ে নিতে পারেন। কৃত্রিম বুদ্ধিমত্তা ব্যবহারের ফলে এখন একদিকে যেমন দ্রুত ত্রুটি খুঁজে বের করা যাচ্ছে, তেমনি হ্যাকাররাও সমানভাবে এর অপব্যবহার করে নতুন হামলার পথ উন্মুক্ত করছেন।

আমাজনের নিরাপত্তাপ্রধান সিজে মোসেস জানিয়েছেন, গত ২০ অক্টোবর পিএইচপিতে থাকা ত্রুটির সংবাদ প্রকাশ্যে আসার চার দিন আগেই ত্রুটিগুলো কাজে লাগিয়ে সাইবার হামলার একটি চেষ্টা শনাক্ত করেছিল আমাজনের নিরাপত্তাদল। ক্যালিফ এবং উইজের প্রতিবেদনগুলো যখন অপ্রকাশিত (এমবার্গো) অবস্থায় ছিল, তখন কীভাবে হ্যাকাররা এই ত্রুটি সম্পর্কে জানতে পারলেন, তা স্পষ্ট নয়। সাধারণত নিরাপত্তা গবেষকেরা সমাধান প্রস্তুত না হওয়া পর্যন্ত ত্রুটির বিবরণ গোপন রাখেন, যাতে আক্রমণকারীরা এর সুযোগ নিতে না পারে। পিএইচপি২শেল নামে অভিহিত এই ত্রুটিগুলোর তীব্রতা মূল্যায়ন স্কেলে ১০–এর মধ্যে ৯.২ দেওয়া হয়েছে। অত্যন্ত সংবেদনশীল বলা হচ্ছে এই ত্রুটিকে। ব্লগ, ই-কমার্স প্ল্যাটফর্ম এবং বিভিন্ন দেশের সরকারি পোর্টাল পিএইচপি দিয়ে তৈরি। বিশ্বের প্রায় ৭০ শতাংশ ওয়েবসাইটে পিএইচপি ব্যবহৃত হয়। তবে এর অর্থ এই নয় যে সব ওয়েবসাইট ইতিমধ্যে হ্যাক হয়েছে। আক্রান্ত সংস্করণ এবং সার্ভারের পরিবেশ অনুযায়ী ঝুঁকি ও হামলার সম্ভাবনা ভিন্ন হতে পারে।

নব্বইয়ের দশকের শুরুর দিকের প্রোগ্রামিং ভাষা পিএইচপি বর্তমানে ইন্টারনেটের এক বিশাল অংশজুড়ে ব্যবহৃত হয়। বিশেষ করে ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা দিয়ে তৈরি সাইটগুলোর মূলে রয়েছে এই ভাষা। ফলে পিএইচপিতে যেকোনো মারাত্মক ত্রুটির পরিণাম হতে পারে সুদূরপ্রসারী। ক্যালিফ, উইজ এবং ওয়েব অবকাঠামো প্রদানকারী প্রতিষ্ঠান ক্লাউডফ্লেয়ার জানিয়েছে, এই ত্রুটিগুলো পিএইচপি ৫.৪ এবং এর পরবর্তী সব সংস্করণকে প্রভাবিত করেছে। ফলে বিশ্বের বেশির ভাগ ওয়েবসাইট নিরাপত্তাঝুঁকিতে রয়েছে।  

বাংলাদেশের প্রেক্ষাপটেও এই সাইবার হুমকি অত্যন্ত তাৎপর্যপূর্ণ। সুমিত সাহার মতে, পিএইচপি একটি বহুল ব্যবহৃত সার্ভার-সাইড প্রোগ্রামিং ভাষা। পিএইচপি নিজে একটি অত্যন্ত আধুনিক ও নিরাপদ প্রোগ্রামিং ভাষা হলেও পুরোনো ভার্সন ব্যবহার করা বা সার্ভার–সংক্রান্ত জটিলতার কারণে ওয়েবসাইটগুলো হ্যাকিংয়ের ঝুঁকিতে পড়ে। বাংলাদেশের অনেক ওয়েবসাইট পিএইচপি দিয়ে তৈরি হলেও সময়মতো হালনাগাদ কোড বা প্যাচ প্রয়োগ করা হয় না, যা সাইবার আক্রমণের ঝুঁকি বহুগুণ বাড়িয়ে দেয়। এই সংকট থেকে নিরাপদ থাকার প্রধান উপায় হলো অবিলম্বে সংশ্লিষ্ট সফটওয়্যার ও কোড হালনাগাদ করা। ২১ অক্টোবর প্রকাশিত পিএইচপি ৮.২.৩৫, ৮.৩.৩৬, ৮.৪.২৭ ও ৮.৫.১২ সংস্করণে সংশ্লিষ্ট নিরাপত্তা ত্রুটিগুলোর সমাধান করা হয়েছে।

পিএইচপি ফাউন্ডেশন এবং মার্কিন জাতীয় নিরাপত্তা সংস্থাসহ বিশ্বমানের প্রযুক্তি প্রতিষ্ঠানগুলো সতর্ক করেছে যে যেকোনো ধরনের বড় বিপর্যয় এড়াতে ওয়েবসাইট প্রশাসকদের অবিলম্বে নিরাপত্তা প্যাচ বা ফিক্স ইনস্টল করতে হবে। নিয়মিত নিরাপত্তা আপডেট, সার্ভারের সঠিক কনফিগারেশন, অ্যাকসেস নিয়ন্ত্রণ এবং নিরাপত্তা পর্যবেক্ষণের মাধ্যমে এ ধরনের সাইবার হামলার ঝুঁকি উল্লেখযোগ্যভাবে কমানো সম্ভব।

সূত্র: আল–জাজিরা