ছবি: সংগৃহীত
বিশ্বজুড়ে অসংখ্য ওয়েবসাইট তৈরিতে ব্যবহৃত জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপিতে (PHP) গুরুতর দুটি নিরাপত্তা ত্রুটি ধরা পড়েছে। এসব ত্রুটি কাজে লাগিয়ে কিছু আক্রান্ত ওয়েবসাইটের সার্ভারে কোনো পাসওয়ার্ড ছাড়াই দূর থেকে ক্ষতিকর নির্দেশনা চালানো, গোপন তথ্য হাতিয়ে নেওয়া কিংবা সার্ভারের নিয়ন্ত্রণ নেওয়া সম্ভব হতে পারে।
ঝুঁকি এতটাই গুরুতর যে যুক্তরাষ্ট্র, যুক্তরাজ্যসহ বিভিন্ন দেশের সাইবার নিরাপত্তা সংস্থা ওয়েবসাইট পরিচালনাকারীদের দ্রুত পিএইচপি হালনাগাদ করার পরামর্শ দিয়েছে। বাংলাদেশেও এ নিয়ে সতর্কতা দিয়েছে বাংলাদেশ সাইবার সিকিউরিটি ইন্টেলিজেন্স (বিসিএসআই)।
পিএইচপি আসলে কী
পিএইচপি মূলত ওয়েবসাইটের পেছনে বা সার্ভারে কাজ করা একটি প্রোগ্রামিং ভাষা। কোনো ওয়েবসাইটে ঢুকলে তথ্যভান্ডার থেকে প্রয়োজনীয় তথ্য এনে ব্যবহারকারীর সামনে দেখানোসহ নানা কাজ করে এটি।
ওয়ার্ডপ্রেস (WordPress), জুমলা (Joomla), ড্রুপাল (Drupal) এবং উইকিপিডিয়ার ব্যবহৃত মিডিয়াউইকি (MediaWiki)-সহ বহু জনপ্রিয় ওয়েব ব্যবস্থা পিএইচপির ওপর নির্ভরশীল।
ওয়েব প্রযুক্তি পর্যবেক্ষণকারী ডব্লিউথ্রিটেকসের হিসাবে, যেসব ওয়েবসাইটের সার্ভারে ব্যবহৃত প্রোগ্রামিং ভাষা শনাক্ত করা যায়, তার প্রায় ৬৯ শতাংশেই পিএইচপি ব্যবহৃত হয়।
এ কারণেই পিএইচপির মূল ব্যবস্থায় বড় ধরনের নিরাপত্তা ত্রুটি ধরা পড়লে একই সঙ্গে বিপুলসংখ্যক ওয়েবসাইট ঝুঁকিতে পড়তে পারে।
কী ধরনের ঝুঁকি
২১ অক্টোবর পিএইচপি কর্তৃপক্ষ দুটি গুরুতর নিরাপত্তা ত্রুটির জন্য জরুরি হালনাগাদ প্রকাশ করে। ত্রুটি দুটির ঝুঁকির মাত্রা ১০-এর মধ্যে ৯ দশমিক ২।
সবচেয়ে উদ্বেগের বিষয় হলো, কিছু ক্ষেত্রে হামলাকারীকে আগে ওয়েবসাইটে প্রবেশও করতে হবে না। বিশেষভাবে তৈরি অনুরোধ পাঠিয়ে আক্রান্ত সার্ভারে নিজের ক্ষতিকর নির্দেশনা চালানোর চেষ্টা করতে পারে তারা।
এ ধরনের হামলা সফল হলে ওয়েবসাইটের তথ্য পরিবর্তন, গোপন তথ্য দেখা কিংবা সার্ভারের নিয়ন্ত্রণ নেওয়ার সুযোগ তৈরি হতে পারে।
নিরাপত্তা প্রতিষ্ঠান উইজ (Wiz) জানিয়েছে, কিছু পরিস্থিতিতে পাসওয়ার্ড, প্রবেশের গোপন সংকেত এবং অন্যান্য সংবেদনশীল তথ্যও সার্ভারের স্মৃতি থেকে বের করে নেওয়া সম্ভব হতে পারে।
তবে এর অর্থ এই নয় যে পিএইচপি ব্যবহার করা সব ওয়েবসাইট ইতোমধ্যে হ্যাক হয়েছে। কোনো ওয়েবসাইট বাস্তবে ঝুঁকিতে আছে কি না, তা নির্ভর করছে সেখানে পিএইচপির কোন সংস্করণ চলছে, কী ধরনের সার্ভার ব্যবস্থা ব্যবহার করা হচ্ছে এবং প্রয়োজনীয় নিরাপত্তা হালনাগাদ দেওয়া হয়েছে কি না।
এক দশকের বেশি সময় ধরে ছিল ত্রুটি
গবেষকদের মতে, সমস্যার পেছনের কিছু ত্রুটি এক দশকেরও বেশি সময় ধরে পিএইচপির কোডে ছিল। এত দিন সেগুলোকে কার্যকর হামলায় ব্যবহার করা অত্যন্ত জটিল ছিল।
এবার কৃত্রিম বুদ্ধিমত্তার (AI) সহায়তায় নিরাপত্তা গবেষকেরা এসব দুর্বলতা শনাক্ত ও পরীক্ষা করতে সক্ষম হন।
ওপেনএআই জানিয়েছে, নিরাপত্তা প্রতিষ্ঠান ক্যালিফ (Calif) তাদের কৃত্রিম বুদ্ধিমত্তা প্রযুক্তি ব্যবহার করে একটি গুরুতর ত্রুটি শনাক্ত করেছে। নিরাপত্তা প্রতিষ্ঠান উইজও কৃত্রিম বুদ্ধিমত্তার সহায়তায় স্বাধীনভাবে দুর্বলতাগুলো খুঁজে পায়।
গবেষকদের মতে, এই ঘটনা দেখাচ্ছে-কৃত্রিম বুদ্ধিমত্তা যেমন বহু বছর ধরে লুকিয়ে থাকা নিরাপত্তা সমস্যা দ্রুত বের করতে পারে, তেমনি একই প্রযুক্তি অপরাধীদেরও এসব দুর্বলতা কাজে লাগানোর পথ সহজ করে দিতে পারে।
ইন্টারনেট নিরাপত্তা প্রতিষ্ঠান ক্লাউডফ্লেয়ার (Cloudflare) জানিয়েছে, তারা ইতোমধ্যে এসব দুর্বলতা কাজে লাগানোর চেষ্টা করা কিছু ক্ষতিকর ইন্টারনেট কার্যক্রম শনাক্ত করেছে।
পুরোনো ওয়েবসাইটে ঝুঁকি বেশি হতে পারে
ক্লাউডফ্লেয়ার ও উইজের বিশ্লেষণ অনুযায়ী, পিএইচপি ৫.৪ থেকে পরবর্তী বহু সংস্করণে অন্তত একটি ত্রুটির প্রভাব থাকতে পারে।
পিএইচপি ৮.১ ও তার আগের সংস্করণগুলো ইতোমধ্যে মেয়াদোত্তীর্ণ। ফলে এসব সংস্করণ পিএইচপি কর্তৃপক্ষের কাছ থেকে নতুন করে নিয়মিত নিরাপত্তা হালনাগাদ পায় না।
এ কারণে দীর্ঘদিন ধরে হালনাগাদ না করা ওয়েবসাইট বা পুরোনো সার্ভার ব্যবস্থার ক্ষেত্রে ঝুঁকি বেশি হতে পারে।
বর্তমানে সমর্থিত সংস্করণগুলোর জন্য নিরাপত্তা সংশোধনীসহ পিএইচপি ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ ও ৮.২.৩৫ প্রকাশ করা হয়েছে।
পিএইচপি কর্তৃপক্ষ বলেছে, শুধু সাময়িক কিছু পরিবর্তন করে পুরো ঝুঁকি দূর করা সম্ভব নয়। নিরাপত্তা হালনাগাদ করাই সবচেয়ে কার্যকর সমাধান।
পুরোনো সংস্করণ ব্যবহারকারী প্রতিষ্ঠানগুলোকে তাদের সেবা প্রদানকারীর নিরাপত্তা সংশোধনী নিতে অথবা সমর্থিত নতুন সংস্করণে চলে যেতে বলা হয়েছে।
বাংলাদেশে কারা সতর্ক হবেন
বাংলাদেশ সাইবার সিকিউরিটি ইন্টেলিজেন্স জানিয়েছে, সরকারি প্রতিষ্ঠান, ব্যাংক ও আর্থিক সেবা, টেলিযোগাযোগ, স্বাস্থ্য, শিক্ষা, গণমাধ্যম, বিদ্যুৎ এবং অন্যান্য গুরুত্বপূর্ণ সেবায় ব্যবহৃত ইন্টারনেটের সঙ্গে যুক্ত পিএইচপি সার্ভার দ্রুত পরীক্ষা করা প্রয়োজন।
তবে সংস্থাটি বাংলাদেশের কোনো নির্দিষ্ট ওয়েবসাইটকে আক্রান্ত বা ঝুঁকিপূর্ণ বলে ঘোষণা করেনি।
কোনো ওয়েবসাইট সত্যিই ঝুঁকিতে আছে কি না, তা জানতে সেখানে পিএইচপির কোন সংস্করণ চলছে, নিরাপত্তা হালনাগাদ করা হয়েছে কি না এবং সার্ভারটি কীভাবে পরিচালিত হচ্ছে-এসব পরীক্ষা করতে হবে।
নিজস্ব ওয়েবসাইট বা অনলাইন ব্যবসা থাকলে প্রযুক্তি দল বা ওয়েবসাইট পরিচালনাকারী প্রতিষ্ঠানের কাছে জেনে নেওয়া উচিত, সার্ভারে ব্যবহৃত পিএইচপি হালনাগাদ করা হয়েছে কি না।
শুধু ওয়ার্ডপ্রেস বা এর কোনো অতিরিক্ত সংযোজন (প্লাগইন) হালনাগাদ করলেই এই বিশেষ সমস্যার পুরো সমাধান হবে না। কারণ নিরাপত্তা ত্রুটিটি রয়েছে পিএইচপির মূল ব্যবস্থায়।
কোনো প্রতিষ্ঠান তাৎক্ষণিকভাবে নিরাপত্তা হালনাগাদ করতে না পারলে ঝুঁকিপূর্ণ ওয়েবসাইট বা ব্যবস্থা সাময়িকভাবে বন্ধ রাখার পরামর্শও দিয়েছে কয়েকটি আন্তর্জাতিক সাইবার নিরাপত্তা সংস্থা।
সাধারণ ব্যবহারকারীরা কী করবেন
সাধারণ ইন্টারনেট ব্যবহারকারীদের নিজের কম্পিউটার বা মুঠোফোনে আলাদাভাবে পিএইচপি হালনাগাদ করার প্রয়োজন নেই। এটি মূলত ওয়েবসাইট ও সার্ভার পরিচালনাকারীদের দায়িত্ব।
তবে কোনো ওয়েবসাইট বা অনলাইন সেবা নিরাপত্তাজনিত কারণে পাসওয়ার্ড পরিবর্তনের পরামর্শ দিলে তা অনুসরণ করা উচিত।
একই সঙ্গে এই নিরাপত্তা সতর্কতার সুযোগ নিয়ে প্রতারকেরা ভুয়া ই-মেইল বা বার্তা পাঠাতে পারে। তাই অপরিচিত বার্তার সংযোগে (লিংক) ক্লিক করা বা সেখানে পাসওয়ার্ড ও ব্যক্তিগত তথ্য দেওয়া থেকে বিরত থাকা ভালো।
তথ্য প্রযুক্তি থেকে আরো পড়ুন
এ সম্পর্কিত আরো পড়ুন
