পিএইচপির নিরাপত্তা ত্রুটিতে কেন সাইবার আতঙ্কে বিশ্ব?

কৃত্রিম বুদ্ধিমত্তা বা এআইয়ের সহায়তায় সার্ভারের নিরাপত্তা ত্রুটি দ্রুত শনাক্ত ও কাজে লাগানোর আশঙ্কা বাড়ছে। এর মধ্যেই বহুল ব্যবহৃত সার্ভার-সাইড প্রোগ্রামিং ভাষা পিএইচপিতে গুরুতর নিরাপত্তা দুর্বলতার খবর সামনে আসায় বিশ্বজুড়ে সাইবার নিরাপত্তা নিয়ে উদ্বেগ তৈরি হয়েছে। এ পরিস্থিতিতে ইউরোপের একাধিক সরকারি ওয়েবসাইটসহ বিশ্বের বিভিন্ন ওয়েবসাইট সাময়িকভাবে বন্ধ রাখা হয়েছে বলে প্রতিবেদনে উল্লেখ করা হয়েছে।

বুধবার যুক্তরাষ্ট্রের ন্যাশনাল সিকিউরিটি এজেন্সি (এনএসএ) লাখ লাখ প্রতিষ্ঠানকে দ্রুত নিরাপত্তা আপডেট ইনস্টল করার অথবা প্রয়োজন হলে সার্ভার সাময়িকভাবে অফলাইনে নেওয়ার সতর্কতা দিয়েছে।

বিশেষজ্ঞদের মতে, আগে সার্ভারের দুর্বলতা খুঁজে বের করতে হ্যাকারদের কয়েক সপ্তাহ বা মাস লেগে যেত। কিন্তু এআই প্রযুক্তির সহায়তায় এখন কয়েক ঘণ্টার মধ্যেই দুর্বলতা শনাক্ত করে তা কাজে লাগানোর সক্ষমতা তৈরি হচ্ছে। ফলে সাইবার হামলা প্রতিরোধের পাশাপাশি সম্ভাব্য আক্রমণের গতি নিয়েও নতুন করে উদ্বেগ দেখা দিয়েছে।

সাইবার নিরাপত্তা কোম্পানি টলমোর গবেষক ম্যাট সুইশে বলেছেন, এ মাত্রার জরুরি পরিস্থিতি একেবারেই নতুন। তাঁর ভাষ্য অনুযায়ী, এক বছর আগেও এমন পরিস্থিতি দেখা যায়নি। এখন আক্রমণকারী ও প্রতিরোধকারী—উভয় পক্ষই এআই ব্যবহার করায় সাইবার নিরাপত্তার ক্ষেত্রে জরুরি পরিস্থিতি তৈরি হয়েছে।

কী এই ‘পিএইচপি-টু-শেল’ ত্রুটি?

১৯৯০-এর দশকে তৈরি পিএইচপি বর্তমানে বহুল ব্যবহৃত সার্ভার-সাইড প্রোগ্রামিং ভাষাগুলোর একটি। প্রতিবেদনে দাবি করা হয়েছে, বিশ্বের প্রায় ৭০ শতাংশ ওয়েবসাইটে এই ভাষা ব্যবহৃত হয়।

চলতি বছরের আগস্টের মাঝামাঝি এআই নিরাপত্তা কোম্পানি ক্যালিফ এবং গুগলের উইজের গবেষকেরা পিএইচপিচালিত বিভিন্ন সার্ভার ব্যবস্থায় কিছু দুর্বলতা শনাক্ত করেন। এ গবেষণায় ক্যালিফের গবেষকেরা ওপেনএআইয়ের ‘জিপিটি-৫.৬ সল’ ব্যবহার করেন বলে প্রতিবেদনে উল্লেখ করা হয়েছে। অন্যদিকে, উইজের দল তাদের নিজস্ব নিরাপত্তা সরঞ্জাম ‘উইজ অ্যাটলাস’, গুগলের ‘জেমিনাই ৪ আর্গন’ এবং একই এআই মডেল ব্যবহার করে।

‘পিএইচপি-টু-শেল’ নামে পরিচিত এই নিরাপত্তা ত্রুটির কারণে অননুমোদিত ব্যক্তি দূর থেকেই আক্রান্ত পিএইচপি সার্ভারে নিজস্ব কোড চালানোর সুযোগ পেতে পারে। এর ফলে সার্ভারের নিয়ন্ত্রণ নেওয়া এবং সংবেদনশীল তথ্য চুরির ঝুঁকি তৈরি হয়।

প্যাচ প্রকাশের আগেই ছড়িয়ে পড়ে তথ্য

নিরাপত্তা ত্রুটির বিষয়ে আগাম তথ্য অনলাইনে ছড়িয়ে পড়ায় পরিস্থিতি আরও জটিল হয়ে ওঠে। পিএইচপি ফাউন্ডেশন বৃহস্পতিবার ত্রুটিটির সমাধান বা প্যাচ প্রকাশের পরিকল্পনা করেছিল। তবে এর আগেই বিভিন্ন অনলাইন ফোরামে এ নিয়ে আলোচনা শুরু হয়।

ক্যালিফের তৈরি পরীক্ষামূলক কাজের একটি ভিডিও ভুলবশত প্রকাশিত হওয়ার পর উদ্বেগ আরও বাড়ে। ভিডিওটি পরে সরিয়ে নেওয়া হলেও পরিস্থিতি বিবেচনায় পিএইচপি ফাউন্ডেশন নির্ধারিত সময়ের ২৪ ঘণ্টা আগে, বুধবার যুক্তরাষ্ট্রের পূর্বাঞ্চলীয় সময় সকাল ১০টায় প্যাচ প্রকাশ করে বলে প্রতিবেদনে জানানো হয়েছে।

এরপর এনএসএ সতর্কবার্তা দেয়। একই সময়ে মাইক্রোসফটের মালিকানাধীন কোড শেয়ারিং প্ল্যাটফর্ম গিটহাবে ‘পিএইচপি-টু-শেল’ ত্রুটি কাজে লাগিয়ে সার্ভারের নিয়ন্ত্রণ নেওয়ার দাবি করা কিছু কোডও প্রকাশিত হয়।

তবে পিএইচপি ফাউন্ডেশনের নির্বাহী পরিচালক এলিজাবেথ ব্যারন বলেছেন, তাঁরা পরিস্থিতির ওপর নজর রাখছেন। এখন পর্যন্ত এই ত্রুটি ব্যবহার করে বড় ধরনের সফল হামলার সুনির্দিষ্ট প্রমাণ পাওয়া যায়নি। তাঁর বক্তব্য অনুযায়ী, অনলাইনে প্রকাশিত কোডগুলোর বেশির ভাগই ভুল বা অকার্যকর।

অন্যদিকে, গবেষক ম্যাট সুইশে দাবি করেছেন, তাঁর দল এআই ব্যবহার করে এক দিনেরও কম সময়ে ত্রুটিটি কাজে লাগানোর সক্ষমতা অর্জন করেছে। তাঁর মতে, শক্তিশালী এআই মডেল না থাকলে আগে এ ধরনের কাজ করতে কয়েক সপ্তাহ লেগে যেত।

অ্যামাজন থ্রেট ইন্টেলিজেন্স জানিয়েছে, তাদের ‘ম্যাডপট টেলিমেট্রি’ নেটওয়ার্কে শনিবার পিএইচপি-টু-শেল ত্রুটি ব্যবহার করে অননুমোদিত প্রবেশের চেষ্টা শনাক্ত করা হয়েছে।

দীর্ঘদিনের দুর্বলতা ও কাঠামোগত সমস্যা

বিশেষজ্ঞদের মতে, পিএইচপি সার্ভারের নিরাপত্তা দুর্বলতা একেবারে নতুন নয়। টলমোর প্রোডাক্ট সিকিউরিটি ইঞ্জিনিয়ার এবং কোয়ার্কস্ল্যাবের সাবেক কর্মী মিহাইল কিরভ বলেছেন, প্রায় দুই বছর আগে তাঁর দলের সদস্যরা পিএইচপি-টু-শেলের মতো একই ধরনের একটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত করেছিলেন।

কিরভের দাবি, সে সময় পিএইচপি ফাউন্ডেশনকে ঝুঁকির বিষয়ে সতর্ক করা হলেও সমস্যাটি স্থায়ীভাবে সমাধানে কার্যকর পদক্ষেপ নেওয়া হয়নি।

প্রতিবেদন অনুযায়ী, বুধবার প্রকাশিত এক ব্লগ পোস্টে পিএইচপি ফাউন্ডেশন নিরাপত্তা ব্যবস্থাপনায় বিলম্বের বিষয়টি স্বীকার করেছে। সংস্থাটি জানিয়েছে, নিরাপত্তা দলের সিদ্ধান্তহীনতা এবং প্রয়োজনীয় সম্পদের অভাবে কাঠামোগত ব্যর্থতা তৈরি হয়েছিল।

কিরভের মতে, ২০২৬ সালে এসে বড় ভাষা মডেল বা এলএলএমের সাহায্যে একই সমস্যার বিভিন্ন দিক একসঙ্গে পরীক্ষা করা সম্ভব হচ্ছে। ফলে নিরাপত্তা ত্রুটি শনাক্ত করার কাজ আগের তুলনায় অনেক দ্রুত করা যাচ্ছে।

প্রতিবেদনে উল্লেখ করা হয়েছে, চলতি বছর ক্যালিফের গবেষকেরা দুটি বড় নিরাপত্তা ত্রুটি প্রকাশ করেছেন, যেগুলোর ঝুঁকির মাত্রা ১০-এর মধ্যে ৯.২ বলে মূল্যায়ন করা হয়েছে।

তথ্য চুরি হয়েছে কি না, জানাও কঠিন হতে পারে

বিশেষজ্ঞদের আশঙ্কা, অনেক প্রতিষ্ঠান দ্রুত নিরাপত্তা আপডেট ইনস্টল করলেও এর আগেই তাদের সার্ভারে অনুপ্রবেশ ঘটেছে কি না, তা শনাক্ত করা কঠিন হতে পারে।

সাইবার নিরাপত্তা প্রতিষ্ঠান অক্স সিকিউরিটির প্রধান নির্বাহী নিটসান জিলভ বলেছেন, কোনো প্রতিষ্ঠানে আগে থেকেই বিশেষায়িত অ্যাপ্লিকেশন নিরাপত্তা প্ল্যাটফর্ম ইনস্টল করা না থাকলে সার্ভারে অনাকাঙ্ক্ষিত কোড চালানো হয়েছিল কি না, তা শনাক্ত করা প্রায় অসম্ভব হতে পারে।

টলমোর গবেষক ম্যাট সুইশের আশঙ্কা, কোনো প্রতিষ্ঠানের গুরুত্বপূর্ণ তথ্য ভবিষ্যতে ডার্ক ওয়েবে বিক্রির জন্য প্রকাশিত হলে তবেই প্রতিষ্ঠানটি বুঝতে পারে যে তারা সাইবার হামলার শিকার হয়েছিল।

সুইশের মতে, পিএইচপি পুরোনো প্রোগ্রামিং ভাষা হওয়ায় অনেক ব্যবহারকারী এতে আধুনিক নিরাপত্তাব্যবস্থা যুক্ত করেন না। সরকারি সংস্থাসহ বিভিন্ন প্রতিষ্ঠানের কিছু ওয়েবসাইট দীর্ঘদিন হালনাগাদ না হওয়ায় সেখানে সংরক্ষিত সংবেদনশীল তথ্য ঝুঁকিতে পড়তে পারে।

এআই বদলে দিচ্ছে সাইবার নিরাপত্তার হিসাব

শিল্প বিশেষজ্ঞদের মতে, এ বছর অ্যানথ্রপিকের শক্তিশালী ‘মিথোস’ মডেল উন্মোচনের পর সাইবার নিরাপত্তার পরিস্থিতিতে বড় পরিবর্তন এসেছে। এপ্রিলে সীমিতসংখ্যক কোম্পানি ও সংস্থাকে তাদের নিরাপত্তাব্যবস্থা পরীক্ষা করার জন্য মডেলটি ব্যবহারের সুযোগ দিয়েছিল মার্কিন এআই কোম্পানিটি বলে প্রতিবেদনে উল্লেখ করা হয়েছে।

তবে বিশেষজ্ঞদের উদ্বেগ, একই ধরনের উন্নত প্রযুক্তি ক্ষতিকর উদ্দেশ্যেও ব্যবহার করা হতে পারে।

অক্স সিকিউরিটির প্রধান নির্বাহী নিটসান জিলভ বলেন, অতীতে নতুন নিরাপত্তা ত্রুটি শনাক্ত করে তা ইন্টারনেটজুড়ে কাজে লাগাতে হামলাকারীদের কয়েক সপ্তাহ সময় লাগত। পরে সেই সময় কমে কয়েক দিনে নেমে আসে। তাঁর মতে, ২০২৬ সালের এপ্রিল থেকে উন্নত এআই মডেলের ব্যবহার সেই সময়কে আরও কমিয়ে কয়েক ঘণ্টায় নিয়ে এসেছে।

এ পরিস্থিতিতে নিরাপত্তা আপডেট ইনস্টল করার পাশাপাশি সার্ভারে সন্দেহজনক কার্যক্রম শনাক্ত করা, পুরোনো ওয়েবসাইট হালনাগাদ করা এবং সংবেদনশীল তথ্য সুরক্ষায় কার্যকর ব্যবস্থা নেওয়ার গুরুত্ব বাড়ছে।