ওয়েবে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে গুরুতর দুটি নিরাপত্তাত্রুটি ঠিক করতে তাৎক্ষণিক ব্যবস্থা নেওয়ার পরও গতকাল বুধবার ইউরোপজুড়ে অনেকগুলো সরকারি ওয়েবসাইট বন্ধ হয়ে যায়।
পিএইচপির ডেভেলপাররা গতকাল জানান, তারা গুরুতর দুটি নিরাপত্তাত্রুটি সংশোধনে প্যাচ প্রকাশ করবেন।
আর ইউরোপীয় ইউনিয়নের (ইইউ) সাইবার নিরাপত্তা কর্মকর্তারা সতর্কবার্তায় বলেন, যেসব সংস্থা এই প্যাচগুলো প্রয়োগ বা ব্যবহার করে ত্রুটি সংশোধন করতে পারছেন না, তারা যেন নিজেদের ওয়েবসাইটগুলো অফলাইনে রাখেন।
পিএইচপি এমন একটি প্রোগ্রামিং ভাষা, যার মাধ্যমে ওয়েবসাইট পরিচালিত হয়। এটি পর্দার আড়ালে কাজ করে। কোনো ব্যবহারকারী একটি ওয়েবপেজ খুললে এর বিভিন্ন উপাদান এক করে সম্পূর্ণ পেজটি ব্যবহারকারীর ব্রাউজারে পাঠায় পিএইচপি চালিত সার্ভার।
এটি ওপেন সোর্স হওয়ায় বিনামূল্যে ব্যবহারযোগ্য। স্বেচ্ছাসেবকদের মাধ্যমে প্রোগ্রামিং ভাষাটির রক্ষণাবেক্ষণের কার্যক্রম পরিচালিত হয়। ওয়েবসাইটের স্বত্বাধিকারীদের সাধারণত সরাসরি এর সঙ্গে কাজ করতে হয় না।
ওয়েব প্রযুক্তি পর্যবেক্ষণকারী প্রতিষ্ঠান ডব্লিউথ্রিটেকসের বরাতে রয়টার্স জানিয়েছে, যেসব ওয়েবসাইটের প্রোগ্রামিং ভাষা শনাক্ত করা সম্ভব, সেগুলোর প্রায় ৭০ শতাংশ পিএইচপিতে চলে।
বহুল জনপ্রিয় ওয়ার্ডপ্রেসের পেছনেও রয়েছে এই ভাষা। ওয়ার্ডপ্রেস এমন একটি সফটওয়্যার, যা ব্লগ, ছোট ব্যবসাপ্রতিষ্ঠানের ওয়েবপেজ, সরকারি পোর্টাল, অনলাইন দোকান ও সংবাদমাধ্যমসহ পৃথিবীর মোট ওয়েবসাইটের প্রায় ৪০ শতাংশ পরিচালনা করে।
প্রযুক্তিশিল্প খাতে প্রচলিত মানদণ্ড, সিভিএসএস ভার্সন ৪ দশমিক ০-এর তীব্রতা নির্ধারণের স্কেলে নিরাপত্তাত্রুটি দুটিকে ১০-এর মধ্যে ৯ দশমিক ২ নম্বর দেওয়া হয়েছে।
ইইউর সাইবার নিরাপত্তা তদারকি করা প্রতিষ্ঠান কম্পিউটার ইমার্জেন্সি রেসপন্স টিম (সিইআরটি-ইইউ) জানিয়েছে, এই রেটিংয়ের অর্থ হলো, ব্যবহারকারীর পূর্বানুমতি ছাড়াই দূর থেকে কোড চালানোর সুযোগ তৈরি হতে পারে।
অর্থাৎ, কোনো আক্রমণকারী বা হ্যাকার পাসওয়ার্ড কিংবা অ্যাকাউন্ট ছাড়াই ইন্টারনেটের মাধ্যমে ত্রুটিযুক্ত সার্ভারে নিজের ইচ্ছেমতো নির্দেশনা দিতে, এমনকি ওয়েবসাইটটি পরিচালনাও করতে পারেন।
পিএইচপির একটি মাত্র নিরাপত্তাত্রুটি একসঙ্গে লাখো সার্ভারে একই ধরনের প্রবেশপথ উন্মুক্ত করে দিতে পারে। এই ত্রুটির সুযোগ নিয়ে কোনো হ্যাকার ওয়েবসাইটের নিয়ন্ত্রণ নিয়ে নিতে পারেন। ওয়েব হোস্টিং সেবাদাতা প্রতিষ্ঠান জানিয়েছে, এতে তথ্য চুরি, ওয়েবপেজ বিকৃত করা কিংবা পুরো সিস্টেমের নিয়ন্ত্রণ হারানোর মতো ঘটনা ঘটতে পারে।
ক্লাউডফ্লেয়ারের প্রধান প্রযুক্তি কর্মকর্তা ডেন নেইখট সামাজিক যোগাযোগমাধ্যম এক্সে জানান, নিরাপত্তাত্রুটি কাজে লাগিয়ে প্রাথমিক পর্যায়ের হামলা হয়েছে। হামলার নতুন কৌশল সামনে আসায় প্রতিষ্ঠানটি ফায়ারওয়ালের সুরক্ষাব্যবস্থা হালনাগাদ করছে।
তবে তিনি এটিকে সাময়িক প্রতিরোধমূলক ব্যবস্থা হিসেবে উল্লেখ করে দ্রুত নিরাপত্তা হালনাগাদ (সিকিউরিটি আপডেট) ইনস্টল করার পরামর্শ দেন।
অধিকাংশ ছোট ওয়েবসাইট সাধারণত এমন স্বত্বাধিকারীরা পরিচালনা করেন, যাদের নিজস্ব কোনো সাইবারনিরাপত্তা টিম নেই। এসব ওয়েবসাইট প্রায়ই শেয়ারড হোস্টিংয়ে চলে। স্বত্বাধিকারীরা এসব সাইটের সার্ভার পরিচালনা করেন না, এমনকি পিএইচপি হালনাগাদের কাজ কে করছেন, তা-ও হয়তো জানেন না।
ওয়ার্ডপ্রেস ওয়েবসাইটের নিরাপত্তা প্লাগইন ওয়ার্ডফেন্স সতর্ক করেছে, প্রচলিত স্বয়ংক্রিয় হালনাগাদের মাধ্যমে এই ত্রুটি সংশোধন করা সম্ভব হবে না। এজন্য সিইআরটি-ইইউর পরামর্শ, ঝুঁকি নিয়ে আক্রান্ত ওয়েবসাইটগুলো চালু না রেখে অফলাইনে নেওয়াই শ্রেয়।
ওপেনএআইয়ের সঙ্গে কাজ করা সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফের গবেষকেরা গত ১১ আগস্ট পিএইচপি কর্তৃপক্ষকে প্রথম এ ত্রুটির কথা জানান। ক্যালিফ জানায়, ওপেনএআইয়ের জিপিটি-৫.৬ সল মডেল ব্যবহার করে তারা প্রথম ত্রুটিটি শনাক্ত করেন।
গুগলের মূল প্রতিষ্ঠান অ্যালফাবেটের মালিকানাধীন নিরাপত্তা প্রতিষ্ঠান উইজও স্বাধীনভাবে দুর্বলতাগুলো শনাক্ত করে এবং ২৪ আগস্ট দ্বিতীয় ত্রুটির কথা জানায়। তারাও কৃত্রিম বুদ্ধিমত্তা মডেল ব্যবহার করে ত্রুটিটি শনাক্ত করেছিল।
উইজ জানায়, এগুলো ‘পিএইচপির ইতিহাসে সবচেয়ে গুরুতর ত্রুটিগুলোর’ মধ্যে অন্যতম। মূল ত্রুটিগুলো কয়েক দশক ধরেই সফটওয়্যারটিতে বিদ্যমান ছিল। তবে সেগুলো কাজে লাগিয়ে সাইবার হামলা চালানো সম্ভব প্রমাণে ধারাবাহিক কয়েকটি ধাপ অনুসরণ করতে হয়েছে। প্রক্রিয়াটি ‘কোনো ব্যক্তির পক্ষে বাস্তবে অর্জনযোগ্য সক্ষমতার একেবারে শেষ পর্যায়ে ছিল।’
এ ত্রুটির ফলে গেমিং প্ল্যাটফর্ম থেকে শুরু করে সরকারি পোর্টাল ও অনলাইন ফোরাম পর্যন্ত বিশ্বজুড়ে বিভিন্ন সেবায় বিঘ্ন ঘটেছে।
আক্রান্ত সাইটগুলোর মধ্যে রয়েছে উইকিমিডিয়াও। অনলাইন বিশ্বকোষ উইকিপিডিয়া পরিচালনাকারী সংস্থাটি সতর্কতামূলক ব্যবস্থা হিসেবে তাদের বেশ কয়েকটি সিস্টেম বন্ধ করে দিয়েছে।
ফিনল্যান্ড সরকার, এডিনবরা কাউন্সিল ও বিবিসি তাদের ওয়েবসাইট ও ওয়েবপেজ অফলাইনে নিয়েছে। নেদারল্যান্ডসের সাইবার নিরাপত্তা সংস্থাও তাদের ওয়েবসাইট বন্ধ করে দিয়েছে।
স্কটল্যান্ডের বেশ কয়েকটি সরকারি সংস্থাও তাদের ওয়েবসাইট অফলাইনে নিয়েছে। এসব সংস্থার মধ্যে বিভিন্ন কাউন্সিল ও স্বাস্থ্য বোর্ড রয়েছে।
কয়েকজন বিশেষজ্ঞ সতর্ক করেছেন, নিরাপত্তা রক্ষণাবেক্ষণে দুর্বল ওয়েবসাইটগুলো এই ত্রুটির কারণে আরও বেশি ঝুঁকিতে পড়তে পারে। বিশেষ করে, সীমিত নিরাপত্তা সোর্স সম্বলিত ছোট প্রতিষ্ঠানগুলোর ওয়েবসাইট বেশি ঝুঁকির মুখে রয়েছে ।
ইউএনএসডব্লিউ সিডনির সাইবার নিরাপত্তা গবেষক শালিল কানহেরে বিবিসিকে বলেন, নিরাপত্তা ত্রুটিগুলোর কারিগরি বিবরণ এখন প্রকাশ্যে আসায়, আগামী কয়েক সপ্তাহে এগুলো কাজে লাগিয়ে হামলার চেষ্টা আরও বাড়তে পারে।
ওয়েবসাইট স্বত্বাধিকারীদের পিএইচপির সর্বশেষ সংস্করণ ব্যবহার করে নিজেদের ওয়েবসাইট সুরক্ষিত করার আহ্বান জানানো হচ্ছে।
যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (এনএসএ) আগামী কয়েক সপ্তাহ সতর্কতা বাড়ানোর এবং সফটওয়্যার সরবরাহকারীদের হালনাগাদসংক্রান্ত তথ্য নিবিড়ভাবে পর্যবেক্ষণের আহ্বান জানিয়েছে।
সংস্থাটি বলেছে, ‘এসব সিস্টেমের সঙ্গে সংশ্লিষ্ট প্যাচ প্রয়োগের ক্ষেত্রে সর্বোচ্চ সতর্কতা অবলম্বন করা অত্যন্ত জরুরি।’
কানহেরে বলেন, মূল দায়িত্ব ওয়েবসাইট পরিচালনাকারীদের ওপর থাকলেও ব্যবহারকারীদেরও আক্রান্ত সেবাদানকারী প্রতিষ্ঠানগুলোর দেওয়া নিরাপত্তাবিষয়ক পরামর্শের ব্যাপারে সতর্ক থাকতে হবে। যেমন, পাসওয়ার্ড পরিবর্তনের অনুরোধ এলে তা খেয়াল করতে হবে।
এ ঘটনা নিয়ে ব্যাপক প্রচারের সুযোগ নিয়ে পাঠানো যেকোনো ফিশিং বার্তার বিষয়ে সতর্ক থাকতেও তিনি সবাইকে পরামর্শ দিয়েছেন।
যুক্তরাষ্ট্রের প্রেসিডেন্ট ডোনাল্ড ট্রাম্পের প্রশাসন বলেছে, ‘সমাধানটি দ্রুত প্রকাশের জন্য তারা পরিস্থিতি পর্যবেক্ষণ করছে এবং ফেডারেল সংস্থা ও শীর্ষস্থানীয় সুপার ইন্টেলিজেন্স (এসআই) ল্যাবগুলোর সঙ্গে সমন্বয় করছে।’
ট্রাম্প আর্টিফিশিয়াল ইন্টেলিজেন্সের (এআই) বদলে এসআই বলতে পছন্দ করেন। তার প্রশাসনের পক্ষ থেকে এ অনুসন্ধানে পরিপ্রেক্ষিতে দাবি করা হচ্ছে, যুক্তরাষ্ট্রের ‘সুপার ইন্টেলিজেন্স জাতীয় নিরাপত্তা জোরদার করে।