পিএইচপির নিরাপত্তা সংকট: ত্রুটি জানা ছিল দুই বছর আগেই

পিএইচপির একটি গুরুতর নিরাপত্তা ত্রুটির প্রাথমিক ইঙ্গিত মিলেছিল ২০২৪ সালেই। কিন্তু তা সমাধানে সিদ্ধান্ত নিতে বিলম্বের বিষয়টিকে ব্যর্থতা বলে স্বীকার করেছে পিএইচপি ফাউন্ডেশন।

ত্রুটিটি কাজে লাগিয়ে দূর থেকে আক্রান্ত সার্ভারে কোড চালানোর বাস্তব পদ্ধতি শনাক্ত হওয়ার পরই কেবল চলতি বছরের অগাস্টে এটি সমাধানের জন্য সর্বোচ্চ অগ্রাধিকার পায় বলে প্রতিবেদনে লিখেছে রয়টার্স।

পিএইচপি ফাউন্ডেশনের ২১ অক্টোবরের বিবৃতিতে বলা হয়েছে, ত্রুটি সমাধানের কাজ একাধিকবার থেমেছে এবং আবার শুরু হয়েছে। পুরোনো সফটওয়্যারের সঙ্গে সামঞ্জস্য নষ্ট হওয়ার আশঙ্কা, সেবা অচল হয়ে পড়ার ঝুঁকি এবং ত্রুটিটি কাজে লাগানোর সুনির্দিষ্ট পদ্ধতির প্রমাণ না থাকায় সিদ্ধান্ত নিতে দেরি হয়েছে।

ফাউন্ডেশন বলেছে, এই বিলম্ব ছিল তাদের ‘কাঠামোগত ব্যর্থতা’।

২০২৪: ত্রুটির ইঙ্গিত, সমাধানে বিলম্ব

পিএইচপি ফাউন্ডেশনের বিবরণ অনুযায়ী, ২০২৪ সালে বহিরাগত নিরাপত্তা নিরীক্ষার সময় ভিন্ন একটি সমস্যার সমাধান করতে গিয়ে পিএইচপির মূল উন্নয়ন দলের এক সদস্য মেমোরি ব্যবস্থাপনায় আরেকটি ত্রুটির প্রাথমিক লক্ষণ শনাক্ত করেন। পরে সেটি গুরুতর নিরাপত্তা ঝুঁকির সঙ্গে সম্পর্কিত বলে চিহ্নিত হয়।

তবে সে সময় ত্রুটিটি কাজে লাগিয়ে দূর থেকে কোড চালানোর সুনির্দিষ্ট পদ্ধতি পাওয়া যায়নি। ফাউন্ডেশন লিখেছে, ঝুঁকিটি নিয়ে তাত্ত্বিক ধারণা থাকলেও বাস্তবে কাজে লাগানোর নির্দিষ্ট উপায় তখন পাওয়া যায়নি। পাশাপাশি ভিন্ন কিছু নিরাপত্তা সমস্যার প্রভাব স্পষ্ট হওয়ায় সেগুলো তখন বেশি গুরুত্ব পেয়েছে।

বিলম্ব কেন?

২০২৪ সালেই ত্রুটিটি সমাধানের জন্য একাধিক পদ্ধতি বিবেচনা করা হয়েছে। কিন্তু, সম্ভাব্য সমাধানগুলোর কিছু পুরোনো সফটওয়্যারের সঙ্গে সামঞ্জস্য নষ্ট করতে পারত। কোনোটি আবার সেবা বন্ধ হয়ে যাওয়ার নতুন ঝুঁকি তৈরি করতে পারত। কিছু ক্ষেত্রে থার্ড পার্টির সফটওয়্যার ডেভেলপমেন্টেও পরিবর্তন আনতে হতো।

পিএইচপি ফাউন্ডেশন বলেছে, নিরাপত্তা দল ঐকমত্যের ভিত্তিতে সিদ্ধান্ত নেয়। ফলে কোন পদ্ধতিতে এগোনো হবে, তা নিয়ে মতপার্থক্য কাটিয়ে ওঠা কঠিন হয়ে পড়েছে। ভুল সমাধান প্রকাশের পরিণতি নিয়েও উদ্বেগ ছিল। রয়টার্সের প্রতিবেদনে ফাউন্ডেশনের বক্তব্য উদ্ধৃত করে বলা হয়েছে, ত্রুটি সমাধানে বিলম্বকে তারা ‘কাঠামোগত ব্যর্থতা’ হিসেবে স্বীকার করেছে।

২০২৬: আক্রমণপদ্ধতি প্রকাশে বদলায় অগ্রাধিকার

চলতি বছরের অগাস্টে নিরাপত্তা গবেষকদের অনুসন্ধানে ত্রুটির ঝুঁকির মাত্রা স্পষ্ট হয়ে ওঠে। পিএইচপি ফাউন্ডেশনের বিবরণ অনুযায়ী, ওপেনএআইয়ের ‘প্যাচ দ্য প্ল্যানেট’ উদ্যোগের সঙ্গে যুক্ত গবেষকরা ত্রুটিগুলো কাজে লাগিয়ে দূর থেকে কোড চালানোর বাস্তব পদ্ধতি শনাক্ত করেন।

ওপেনএআইয়ের নিজস্ব ঘোষণায় বলা হয়েছে, ক্যালিফের গবেষকরা তাদের একটি কৃত্রিম বুদ্ধিমত্তার মডেল ব্যবহার করে একটি গুরুতর ত্রুটি শনাক্ত করেন। ওপেনএআই একই সমস্যা নিয়ে প্রতিবেদন দেয়। সাইবার নিরাপত্তা কোম্পানি উইজও স্বাধীনভাবে ত্রুটি দুটি শনাক্ত করে প্রতিবেদন দেয়।

এসব প্রতিবেদন আগের উদ্বেগকে বাস্তব নিরাপত্তা ঝুঁকিতে পরিণত করে। ১১ অগাস্ট থেকে পিএইচপি ফাউন্ডেশন ও নিরাপত্তা দলের কাছে বিষয়টি সর্বোচ্চ অগ্রাধিকার পায়। একাধিক কর্মী পূর্ণ সময় ধরে সমাধান তৈরির কাজে যুক্ত হন।

এরই মধ্যে ফাঁস হয়ে যায় ত্রুটির খবর

পিএইচপি দল ২২ অক্টোবর ত্রুটির বিস্তারিত তথ্য ও প্যাচ সমন্বিতভাবে প্রকাশের পরিকল্পনা করেছিল। এতে সফটওয়্যার সরবরাহকারী ও ওয়েবসাইট পরিচালনাকারীরা আগেই প্রস্তুতি নিতে পারতেন।

কিন্তু, ২০ অক্টোবর বিকাল তিনটার দিকে ত্রুটি দুটির শনাক্তকরণ নম্বর অনলাইন ফোরাম ও সামাজিক মাধ্যমে ছড়িয়ে পড়ে।

এর ফলে পিএইচপি দল প্যাচ প্রকাশের তারিখ এক দিন এগিয়ে ২১ অক্টোবর নির্ধারণ করে। ফাউন্ডেশন উল্লেখ করেছে, সফটওয়্যার বিতরণকারীরা তখনও প্যাচ যুক্ত করে প্যাকেজ তৈরির কাজ করছিলেন।

সফটওয়্যার সাপ্লাই চেইন নিরাপত্তা কোম্পানি চেইনগার্ডের প্রধান নির্বাহী ড্যান লোরেঙ্ক বলেন, তাদের দল আগেই আক্রমণচেষ্টার লক্ষণ দেখতে শুরু করেছিল। এ পরিস্থিতিতে তারা নিরাপত্তা ত্রুটির তথ্য আগাম প্রকাশের সিদ্ধান্ত নেন।

এর ফলে, দ্রুততম সময়ে প্যাচ প্রকাশের চাপ তৈরি হয় পিএইচপি ফাউন্ডেশনের ওপর।

নিরাপত্তা প্রক্রিয়ায় পরিবর্তন আসছে

পিএইচপি ফাউন্ডেশন বলেছে, এ ঘটনার পর নিরাপত্তা দলের সিদ্ধান্ত গ্রহণের প্রক্রিয়ায় পরিবর্তন আনা হবে। মতৈক্যে পৌঁছানোর অপেক্ষায় গুরুতর ত্রুটির সমাধান যেন আটকে না থাকে, সে জন্য সংখ্যাগরিষ্ঠের সিদ্ধান্ত ও বাস্তবসম্মত সমঝোতার ভিত্তিতে এগোনোর সুযোগ তৈরি করা হবে। জটিল সমাধানের কারণে কাজ আটকে গেলে বিষয়টি দ্রুত নেতৃত্বের পর্যায়ে নেওয়ার ব্যবস্থাও করতে চায় ফাউন্ডেশন।