পিএইচপিতে ধরা পড়ল ভয়াবহ ত্রুটি: বিশ্বের ৭০ শতাংশ ওয়েবসাইট ঝুঁকিতে, সরকারি সাইট বন্ধের হিড়িক
বিশ্বের ওয়েবসাইটগুলোর বড় অংশ যে প্রোগ্রামিং ভাষার ওপর দাঁড়িয়ে আছে, সেই পিএইচপিতে ধরা পড়েছে ভয়াবহ দুটি নিরাপত্তা ত্রুটি। এই ত্রুটি কাজে লাগিয়ে একজন হ্যাকার কোনো ওয়েবসাইট বদলে দিতে পারেন কিংবা ডেটাবেস থেকে ব্যক্তিগত তথ্যসহ গোপন উপাত্ত বের করে নিতে পারেন বলে বিশেষজ্ঞরা সতর্ক করেছেন।
খবরটি প্রকাশ্যে আসার পর ইউরোপসহ বিশ্বের বিভিন্ন দেশে সরকারি ওয়েবসাইটগুলো একের পর এক বন্ধ হয়ে গেছে কিংবা সতর্কতামূলকভাবে বন্ধ করে দেওয়া হয়েছে। ওয়েবসাইট পরিচালনাকারীরা নিজেদের সিস্টেম রক্ষায় হিমশিম খাচ্ছেন, আর পিএইচপির ডেভেলপাররা বুধবার জরুরি ভিত্তিতে সংশোধনী (প্যাচ) প্রকাশ করে সব ব্যবহারকারীকে 'অবিলম্বে হালনাগাদ' করার আহ্বান জানিয়েছেন।
পিএইচপি চলে ওয়েবসাইট হোস্ট করা সার্ভারগুলোতে; দর্শনার্থীর ব্রাউজারে পৌঁছানোর আগেই পর্দার আড়ালে পেজ তৈরি করে এই ভাষা। সাধারণ মানুষ এটিকে কখনো চোখে দেখেন না, অথচ ব্লগ থেকে অনলাইন দোকান আর সরকারি পোর্টাল—সবই চলে এর ওপর ভর করে।
সবচেয়ে উদ্বেগের বিষয় হলো, ত্রুটি দুটি বছরের পর বছর ধরে সফটওয়্যারটির ভেতরে লুকিয়ে ছিল; কৃত্রিম বুদ্ধিমত্তার (এআই) সহায়তায় সেগুলো শনাক্ত করা গেছে। তবে সংশোধনী প্রস্তুত হওয়ার আগেই মঙ্গলবার ত্রুটির বিবরণ অনলাইনে ফাঁস হয়ে যায়, ফলে পিএইচপি কর্তৃপক্ষকে তড়িঘড়ি করে প্যাচ ছাড়তে হয়।
বিশেষজ্ঞরা বলছেন, হালনাগাদের আগেই হ্যাকাররা ঝাঁপিয়ে পড়তে পারে—এমন অনুপ্রবেশের ঢেউ আসার আশঙ্কায় প্রস্তুত থাকতে হচ্ছে সবাইকে। মেলবোর্ন বিশ্ববিদ্যালয়ের এআই ও সাইবার নিরাপত্তা বিষয়ের প্রভাষক অ্যান্ড্রু কালেনের ভাষ্য, বিশ্বের বহু যন্ত্রই একটিমাত্র ভিত্তিমূল সফটওয়্যারের সঙ্গে যুক্ত, আর ত্রুটিটি পাওয়া গেছে ঠিক সেখানেই।
কালেনের ব্যাখ্যা অনুযায়ী, এই দুর্বলতা কাজে লাগিয়ে হ্যাকার ওয়েবসাইটে নিজের কোড চালাতে পারেন; অর্থাৎ তিনি সাইটটি বদলে দিতে পারেন অথবা ডেটাবেসে জমা থাকা ব্যক্তিগত তথ্য ছেড়ে দিতে বাধ্য করতে পারেন। ক্লাউড নিরাপত্তা প্রতিষ্ঠান উইজ জানিয়েছে, দুটি ত্রুটিই এসেছে মেমোরি শেষ হয়ে যাওয়ার মতো মারাত্মক ত্রুটি সামলানোর পদ্ধতি থেকে; আর সমস্যাটি খোদ পিএইচপির ভেতরে থাকায় ক্ষতিগ্রস্ত সংস্করণে চলা সবচেয়ে সাধারণ ওয়েবসাইটটিও ঝুঁকিতে পড়তে পারে, হামলাকারীরা সার্ভারের মেমোরি থেকে পাসওয়ার্ড ও অন্যান্য পরিচয়তথ্যও পড়ে নিতে পারেন।
শিল্পখাতের প্রচলিত তীব্রতা-মাপকাঠিতে দুটি ত্রুটিই ১০-এর মধ্যে ৯ দশমিক ২ স্কোর পেয়েছে, অর্থাৎ এগুলো 'জটিল' বা ক্রিটিক্যাল শ্রেণির। 'পিএইচপিটুশেল' ডাকনাম পাওয়া ত্রুটি দুটি এআই ব্যবহার করে স্বতন্ত্রভাবে খুঁজে পেয়েছে দুটি সাইবার নিরাপত্তা প্রতিষ্ঠান। ওপেনএআইয়ের সঙ্গে কাজ করা ক্যালিফ প্রথমটি জানায় ১১ আগস্ট, আর গুগলের মালিকানাধীন উইজ দ্বিতীয়টি জানায় ২৪ আগস্ট।
উইজের বিবৃতি অনুযায়ী, ত্রুটি দুটি এক দশকের বেশি সময় ধরে পিএইচপির কোডবেজে লুকিয়ে ছিল এবং কোনো মানব হ্যাকারের পক্ষে এগুলো কাজে লাগানো হতো অসাধারণ রকমের জটিল। ক্যালিফ ও উইজ জানিয়েছে, প্রকাশের আগে তারা পরস্পরের সঙ্গে, পিএইচপি দল ও ওপেনএআইয়ের সঙ্গে সমন্বয় করেছিল।
তবে আমাজনের নিরাপত্তাপ্রধান সিজে মোজেস জানিয়েছেন, জনসমক্ষে প্রকাশের চার দিন আগে ১৭ অক্টোবরই তার নিরাপত্তা দল ত্রুটি দুটি কাজে লাগানোর একটি চেষ্টা শনাক্ত করেছে। ক্যালিফ ও উইজের প্রতিবেদন নিষেধাজ্ঞার (এমবার্গো) আওতায় থাকা অবস্থায় হ্যাকার কীভাবে ত্রুটির কথা জানলেন, তা স্পষ্ট নয়—গবেষকেরা সাধারণত সংশোধনী প্রস্তুত না হওয়া পর্যন্ত ত্রুটির বিবরণ গোপন রাখেন, যাতে হামলাকারীরা আগেভাগে সুযোগ নিতে না পারে।
নব্বইয়ের দশকের গোড়ার দিকের এই ভাষাটির নামের আদ্যক্ষর শুরুতে ছিল 'পার্সোনাল হোম পেজ'। ওয়ার্ডপ্রেস, দ্রুপাল, জুমলা ও ম্যাজেন্টো সাইটগুলোর ভিত্তিতে থাকায় যেকোনো জটিল ত্রুটির ধাক্কা হতে পারে বিশাল। ক্যালিফ, উইজ ও ওয়েব অবকাঠামো প্রতিষ্ঠান ক্লাউডফ্লেয়ারের মতে, ত্রুটি দুটি পিএইচপি ৫.৪ ও পরবর্তী সব সংস্করণকে প্রভাবিত করে—অর্থাৎ এক দশকের বেশি সময়ের প্রকাশনাজুড়ে এর বিস্তার।
কালেন এই দুর্বলতাকে 'সত্যিকার অর্থেই নজিরবিহীন' বলে বর্ণনা করেছেন; তার মতে, বিশ্বের ৭০ শতাংশের বেশি ওয়েবসাইট চলে পিএইচপিতে, যদিও যেসব সাইট হালনাগাদ করা হয়েছে সেগুলো সুরক্ষিত। তিনি বলেন, 'আমরা সবাই যে যৌথ ডিজিটাল অবকাঠামোর ওপর নির্ভর করি, তার জন্য সত্যিকারের ঝুঁকি আছে। সংশোধনী তৈরিতে ডেভেলপাররা খুব দ্রুত কাজ করলেও এর বিস্ফোরণের ব্যাপ্তি নিয়ে সাইবার নিরাপত্তা মহলে উদ্বেগ রয়েছে।'
একই সঙ্গে এআইয়ের দ্বিমুখী ভূমিকাও তুলে ধরেছেন কালেন: এআই একদিকে সাইবার নিরাপত্তায় দক্ষ হচ্ছে, অন্যদিকে হ্যাকিংয়েও পটু হচ্ছে। তার ভাষ্য, এতে এমন ব্যবস্থা তৈরি হচ্ছে যা ত্রুটি সারিয়ে ইন্টারনেটকে নিরাপদ করছে, আবার ত্রুটি খুঁজে বের করে ও তৈরি করে সেটিকে ঝুঁকিপূর্ণও করে তুলছে।
ক্ষতির হাত থেকে বাঁচতে নেদারল্যান্ডসে দেশটির সাইবার নিরাপত্তা সংস্থাটিই সতর্কতামূলকভাবে অফলাইনে চলে গেছে। রটারডাম বন্দর, সরকারি পোর্টাল ওভারহেইড ডট এনএল, জাতীয় ফুটবল সংস্থা কেএনভিবি, দেশটির পাঁচটি বৃহত্তম রাজনৈতিক দলের ওয়েবসাইট ও কয়েকটি হাসপাতালের ওয়েবসাইটও একই পথ অনুসরণ করেছে। ডাচ প্রধানমন্ত্রী রব ইয়েটেন জানিয়েছেন, তিনি পরিস্থিতি নিবিড়ভাবে পর্যবেক্ষণ করছেন।
ফিনল্যান্ডে রাষ্ট্রীয় আইটি সেবাদাতা ভালতোরি 'সতর্কতামূলক ব্যবস্থা' হিসেবে সরকারি পাবলিক নেটওয়ার্ক সেবা বন্ধ রাখার কথা জানিয়েছে। ফ্রান্সের স্বরাষ্ট্র মন্ত্রণালয় তাদের সব ওয়েবসাইটকে প্রতিরোধমূলক রক্ষণাবেক্ষণে নিয়েছে। বেলজিয়ামের পররাষ্ট্র, বৈদেশিক বাণিজ্য ও উন্নয়ন সহযোগিতাবিষয়ক ফেডারেল পাবলিক সার্ভিস ত্রুটি কাজে লাগিয়ে সাইবার হামলার খবরে সাময়িকভাবে সাইট বন্ধ রাখলেও দেশটির সাইবার নিরাপত্তা কেন্দ্র বলেছে, বেলজিয়ামের কোনো ওয়েবসাইটে হামলার নজির তারা পায়নি।
দক্ষিণ কোরিয়া সরকার বেসরকারি খাতের সাইবার নিরাপত্তা সতর্কতার মাত্রা বাড়িয়ে জরুরি প্রতিক্রিয়া ব্যবস্থা চালু করেছে; নিবন্ধিত প্রধান তথ্য নিরাপত্তা কর্মকর্তা থাকা প্রায় ২৮ হাজার প্রতিষ্ঠান, সরকারি তথ্য-বিনিময় নেটওয়ার্কের ৫ হাজার ৯০০ সদস্য, গুরুত্বপূর্ণ অবকাঠামো পরিচালনাকারী, ওয়েব-হোস্টিং প্রতিষ্ঠান ও ডেটা সেন্টারগুলোর কাছে নিরাপত্তা নির্দেশনা পাঠানো হয়েছে। অনলাইন বিশ্বকোষ উইকিপিডিয়ার পরিচালনাকারীরাও নিরাপদে প্যাচ করা না যাওয়া পর্যন্ত অনির্দিষ্টসংখ্যক সিস্টেম বন্ধ রাখার কথা জানিয়েছেন, আর অনলাইন গ্রন্থাগার ইন্টারনেট আর্কাইভও সমস্যা মোকাবিলায় সংক্ষিপ্ত সময়ের জন্য অফলাইনে গিয়েছিল।
সব মিলিয়ে এখন লড়াইটা সময়ের সঙ্গে: ওয়েবসাইট পরিচালনাকারীরা যত দ্রুত প্যাচ বসাতে পারবেন, হ্যাকারদের সুযোগ তত কমবে। হালনাগাদ না করা প্রতিটি সাইটই আপাতত সম্ভাব্য লক্ষ্য, তাই আগামী দিনগুলোতে আরও অনুপ্রবেশের খবর আসতে পারে বলেই মনে করছেন বিশেষজ্ঞরা।
