পিএইচপির নিরাপত্তা ত্রুটিতে কেন সাইবার আতঙ্কে বিশ্ব?

সার্ভার পোগ্রামিং ভাষা পিএইচপি’তে বড় ধরনের নিরাপত্তা ত্রুটির আশঙ্কায় ইউরোপের একাধিক সরকারি ওয়েবসাইট ও বিশ্বের বিভিন্ন সাইট সাময়িকভাবে বন্ধ করে রাখা হয়েছে।

বুধবার পরিস্থিতি বিবেচনা করে লাখ লাখ প্রতিষ্ঠানকে হয় দ্রুততম সময়ে নিরাপত্তা আপডেট ইনস্টল করার, নয়ত সার্ভার সাময়িকভাবে অফলাইনে নিয়ে যাওয়ার জন্য সতর্ক বার্তা দিয়েছে যুক্তরাষ্ট্রের ‘ন্যাশনাল সিকিউরিটি এজেন্সি’ বা এনএসএ।

কৃত্রিম বুদ্ধিমত্তার বা এআই যুগের নতুন এই সাইবার আতঙ্কের পেছনে প্রধান কারণ হচ্ছে, অতীতে যে সার্ভার ত্রুটি খুঁজতে হ্যাকারদের কয়েক সপ্তাহ বা মাস লাগত, এআই ব্যবহারে এখন কয়েক ঘণ্টার মধ্যেই তা খুঁজে বের করে নিয়ন্ত্রণ নেওয়ার সুযোগ তৈরি হয়েছে বলে প্রতিবেদনে লিখেছে আমেরিকান সংবাদমাধ্যম সিএনবিসি।

সাইবার নিরাপত্তা কোম্পানি ‘টলমো’র গবেষক ম্যাট সুইশে বলেছেন, এই মাত্রার জরুরি অবস্থা একেবারেই নতুন। এক বছর আগেও এ ধরনের ঘটনা দেখা যায়নি। এখন আক্রমণকারী ও প্রতিরোধকারী উভয় পক্ষই এআই প্রযুক্তি ব্যবহার করায় সাইবার নিরাপত্তার ক্ষেত্রে এক ধরনের জরুরি পরিস্থিতি তৈরি হয়েছে।

ঘটনা আসলে কী?

নব্বইয়ের দশকে তৈরি হওয়া পিএইচপি পোগ্রামিং ভাষাটি বর্তমান বিশ্বের পরিচিত সার্ভার-সাইড ভাষার প্রায় ৭০ শতাংশ ওয়েবসাইটে ব্যবহৃত হয়।

এ বছরের অগাস্টের মাঝামাঝিতে এআই নিরাপত্তা কোম্পানি ‘ক্যালিফ’ ও গুগলের ‘উইজ’-এর গবেষকরা পিএইচপিচালিত বিভিন্ন সার্ভার ব্যবস্থায় কিছু দুর্বলতা চিহ্নিত করেন।

এ গবেষণার কাজে ক্যালিফের গবেষকরা ওপেনএআইয়ের ‘জিপিটি-৫.৬ সল’ ব্যবহার করেছিলেন। অন্যদিকে উইজ টিম তাদের নিজস্ব নিরাপত্তা সরঞ্জাম ‘উইজ অ্যাটলাস’, গুগলের ‘জেমিনাই ৪ আর্গন’ ও ‘জিপিটি-৫.৬ সল’ ব্যবহার করেছেন।

‘পিএইচপি-টু-শেল’ নামের এ নিরাপত্তাত্রুটির কারণে কোনো অননুমোদিত হ্যাকার দূর থেকেই যে কোনো পিএইচপি সার্ভারে নিজস্ব কোড এক্সিকিউট করতে পারবে। ফলে সংবেদনশীল ডেটা ও তথ্য চুরি যাওয়ার বড় ঝুঁকিতে পড়েছে প্রতিষ্ঠানগুলো।

ঘটনাটি ছড়িয়ে পড়ে আগাম তথ্য ফাঁসের কারণে।

‘পিএইচপি ফাউন্ডেশন’ বৃহস্পতিবার এই ত্রুটির সমাধান বা প্যাচ প্রকাশের কথা ভেবেছিল। তবে এর আগেই বিভিন্ন অনলাইন ফোরামে এ বিষয়ে খবর ছড়িয়ে পড়ে।

পাশাপাশি ক্যালিফ তাদের তৈরি করা পরীক্ষামূলক কাজের ভিডিও ভুলবশত প্রকাশ করে ফেললে ঘটনাটি নতুন মোড় নেয়।

ভিডিওটি পরবর্তীতে সরিয়ে ফেলা হলেও পরিস্থিতির আশঙ্কাজনক পরিবর্তনের কারণে পিএইচপি ফাউন্ডেশন ২৪ ঘণ্টা আগেই অর্থাৎ বুধবার পূর্বাঞ্চলীয় সময় সকাল ১০টায় তড়িঘড়ি করে প্যাচ অবমুক্ত করে। এর ঠিক পরপরই সতর্কবার্তা পাঠায় যুক্তরাষ্ট্রের নিরাপত্তা সংস্থা এনএসএ।

ততক্ষণে মাইক্রোসফট মালিকানাধীন জনপ্রিয় পোগ্রামিং প্ল্যাটফর্ম ‘গিটহাব’-এ ‘পিএইচপি-টু-শেল’ কোডের মাধ্যমে যে কোনো সার্ভার নিয়ন্ত্রণে নেওয়ার কিছু দাবী করা কোড প্রকাশ পেয়ে যায়।

পিএইচপি ফাউন্ডেশনের নির্বাহী পরিচালক এলিজাবেথ ব্যারন বলেছেন, তারা পরিস্থিতির ওপর কড়া নজর রাখছেন। তবে এখন পর্যন্ত এ ত্রুটি ব্যবহার করে বড় কোনো সফল আক্রমণের সুনির্দিষ্ট প্রমাণ মেলেনি, বরং যেসব কোড তৈরি করা হয়েছে তার বেশিরভাগই ভুল ও অকার্যকর।

এদিকে, গবেষক ম্যাট সুইশে দাবি করেছেন, তার দল এআই ব্যবহার করে এক দিনেরও কম সময়ে এ ত্রুটি কাজে লাগানোর সক্ষমতা পেয়েছে। আগে শক্তিশালী এআই মডেল না থাকায় এ জাতীয় কাজ করতে কয়েক সপ্তাহ লেগে যেত।

অন্যদিকে, বুধবার ‘অ্যামাজন থ্রেট ইন্টেলিজেন্স’ বলেছে, শনিবার তাদের ‘ম্যাডপট টেলিমেট্রি’ নেটওয়ার্কে তারা পিএইচপি-টু-শেল ব্যবহার করে অবৈধ প্রবেশের চেষ্টা চিহ্নিত করেছে।

কাঠামোগত ব্যর্থতা ও নিরাপত্তা ঝুঁকি

পিএইচপি সার্ভারের এই দুর্বলতা নতুন নয়, বরং দীর্ঘদিন ধরেই এতে নানা ধরনের ঝুঁকিপূর্ণ ত্রুটি ছিল।

টলমো’র বর্তমান প্রোডাক্ট সিকিউরিটি ইঞ্জিনিয়ার ও ‘কোয়ার্কস্ল্যাব’-এর সাবেক কর্মী মিহাইল কিরভ বলেছেন, প্রায় দুই বছর আগে তার দলের সদস্যরা পিএইচপি-টু-শেলের মতো একই ধরনের একটি গুরুতর নিরাপত্তাত্রুটি খুঁজে পেয়েছিলেন।

কিরভ বলেছেন, সে সময়েই ‘পিএইচপি ফাউন্ডেশন’কে এই ঝুঁকিপূর্ণ ব্যবস্থার বিষয়ে সতর্ক করা হয়েছিল, তবে তা স্থায়ীভাবে সংশোধনে কোনো কার্যকরী ব্যবস্থা নেওয়া হয়নি।

বুধবার নিজেদের এক ব্লগ পোস্টে এই বিলম্বকে এক প্রকার স্বীকার করে নিয়েছে পিএইচপি ফাউন্ডেশন। তারা বলেছে, নিরাপত্তা টিমের সিদ্ধান্তহীনতা ও প্রয়োজনীয় সম্পদের অভাবের কারণেই এ ‘কাঠামোগত ব্যর্থতা’ তৈরি হয়েছিল।

ওই সময়ে সময়ে লার্জ ল্যাঙ্গুয়েজ মডেল বা এলএলএম-এর এত ব্যাপক ব্যবহার ছিল না।

তবে ২০২৬ সালে এসে ক্যালিফের গবেষকরা আধুনিক প্রযুক্তি ব্যবহার করে এক এক করে বড় দুটি নিরাপত্তাত্রুটি প্রকাশ করেছেন, যার ঝুঁকি ৯.২/১০ বলে চিহ্নিত করা হয়েছে, যেখানে সর্বোচ্চ মাত্রা ১০।

কিরভ বলেছেন, “ক্যালিফ টিম প্রমাণ করেছে, ২০২৬ সালে এসে লার্জ ল্যাঙ্গুয়েজ মডেলের সাহায্যে কতটা দ্রুত কাজ করা সম্ভব। কারণ এলএলএম ব্যবহারের ফলে একটি সমস্যার নানা দিক একযোগে খতিয়ে দেখার সুযোগ তৈরি হয়।”

বিশেষজ্ঞরা বলছেন, অনেক প্রতিষ্ঠান এখন দ্রুত নিরাপত্তা আপডেট দিলেও এরইমধ্যে তাদের তথ্য চুরি হয়েছে কি না তা তারা হয়ত কখনোই জানতে পারবে না।

সাইবার নিরাপত্তা সংগঠন ‘অক্স সিকিউরিটি’র প্রধান নির্বাহী নিটসান জিলভ বলেছেন, কোনো প্রতিষ্ঠান যদি আগেই বিশেষ কোনো ‘অ্যাপ্লিকেশন সিকিউরিটি প্ল্যাটফর্ম’ ইনস্টল করে না রাখে তবে তাদের সার্ভারে ঢুকে কোনো অনাকাঙ্ক্ষিত আবেদন বা কোড চালানো হয়েছিল কি না তা সাধারণ চোখে ধরা প্রায় অসম্ভব।

টলমোর গবেষক ম্যাট সুইশে বলেছেন, কোনো কোম্পানির গুরুত্বপূর্ণ তথ্য যখন ভবিষ্যতে ‘ডার্ক ওয়েবে’ বিক্রি হতে দেখা যাবে কেবল তখনই হয়ত তারা বুঝতে পারবে, তারা হ্যাকিংয়ের শিকার হয়েছিল।

“গতকাল পর্যন্ত এটাই বাস্তবতা ছিল, আজও একই অবস্থা রয়ে গেছে।”

সুইশে বলেছেন, পিএইচপি পুরনো ধাঁচের সার্ভার ল্যাঙ্গুয়েজ হওয়ায় অনেক ব্যবহারকারীই এতে আধুনিক বা উন্নত নিরাপত্তা ব্যবস্থা যোগ করেন না।

শহরের বিভিন্ন সরকারি ওয়েবসাইট ও নানা সংস্থা পিএইচপি ব্যবহার করে তৈরি হলেও তারা গত ১০ বছর ধরে নিজেদের ওয়েবসাইট আপডেটই করেনি। অথচ এসব সাইটেই মানুষের গুরুত্বপূর্ণ ও সংবেদনশীল তথ্য জমা থাকে।

শিল্প বিশেষজ্ঞরা বলছেন, অ্যানথ্রপিক এ বছর তাদের শক্তিশালী ‘মিথোস’ মডেল উন্মোচনের পর থেকে সাইবার নিরাপত্তার প্রেক্ষাপট পুরোপুরি বদলে গেছে।

সাইবার নিরাপত্তা পর্যাপ্ত কি না তা পরীক্ষা করতে এ বছরের এপ্রিলে সীমিত কিছু কোম্পানি ও সংস্থাকে মিথোস ব্যবহারের সুযোগ দিয়েছিল মার্কিন এআই কোম্পানিটি।

তবে বর্তমানে সেই প্রযুক্তি ক্ষতিকর হ্যাকারদের হাতেও পৌঁছে গেছে।

‘অক্স সিকিউরিটি’র সিইও জিলভ বলেছেন, “অতীতে যে কোনো নতুন নিরাপত্তা ত্রুটি খুঁজে বের করে পুরো ইন্টারনেটে তা প্রয়োগ করতে সাইবার হামলাকারীদের কয়েক সপ্তাহ সময় লাগত।

“পরে তা কয়েক দিনে নেমে আসে। আর ২০২৬ সালের এপ্রিল মাসে মিথোসের আগমনী যুগের পর থেকে সেই সময় এখন কেবল কয়েক ঘণ্টায় এসে ঠেকেছে।”