একটি কম্পিউটার ভাষার একটি ত্রুটি ওয়েবসাইটগুলিকে স্ক্র্যাম্বলিং পাঠায়। পিএইচপি কি, এবং সমস্যা কতটা গুরুতর? | সিবিসি নিউজ

ইন্টারনেটের অবকাঠামোর একটি গুরুত্বপূর্ণ অংশে একটি দুর্বলতা এই সপ্তাহে উন্মোচিত হয়েছিল, ওয়েবসাইট অপারেটররা বিশ্বব্যাপী একটি ফিক্স বাস্তবায়নের জন্য ঝাঁকুনি পাঠাচ্ছে।

সমস্যাটি পিএইচপি কোডিং ভাষার অংশে ছিল – একটি সাধারণভাবে ব্যবহৃত সফ্টওয়্যার যা “ইন্টারনেটের মেরুদণ্ড”, টরন্টো-ভিত্তিক সাইবারসিকিউরিটি ফার্ম প্যাকেটল্যাবসের সিনিয়র পেনিট্রেশন টেস্টার আইজ্যাক প্রিভেটের মতে।

এবং দুর্বলতা বছরের পর বছর ধরে ছিল, সম্ভাব্যভাবে খারাপ অভিনেতাদের সাইটগুলি অ্যাক্সেস করতে, তাদের পরিবর্তন করতে এবং ডেটা সংগ্রহ করার অনুমতি দেয়।

সমস্যাটি অনেককে তাদের ওয়েবসাইটগুলি অফলাইনে নেওয়ার জন্য প্ররোচিত করেছিল যখন তারা একটি সমাধান কার্যকর করেছিল, যার ফলে কিছু ওয়েবসাইট — কানাডায় সরকারী ওয়েবসাইটগুলি সহ — অন্ধকার হয়ে যায়৷

পিএইচপি ভাষা সম্পর্কে আপনার যা জানা দরকার, এটি কীভাবে প্রকাশ পেয়েছে এবং দুর্বলতা কতটা গুরুতর তা এখানে রয়েছে।

পিএইচপি কি?

PHP হল একটি ওপেন সোর্স কম্পিউটার ল্যাঙ্গুয়েজ — যার অর্থ যে কেউ বিনামূল্যে ডাউনলোড করতে এবং ব্যবহার করতে পারে — যা ইন্টারনেট জুড়ে ব্যাপকভাবে ব্যবহৃত হয়। প্রযুক্তিটি অলাভজনক PHP ফাউন্ডেশন দ্বারা পরিচালিত হয়, স্বেচ্ছাসেবক বোর্ড সদস্যদের একটি দল এবং মুষ্টিমেয় ডেভেলপারদের সাথে।

আপনি যখন একটি ওয়েবসাইট পরিদর্শন করেন, তখন অনেক তথ্য যেমন ছবি, লিঙ্ক এবং কোন সাইট কোন রঙে উপস্থিত হওয়া উচিত, সবগুলিকে একত্রিত করা এবং শেষ ব্যবহারকারীদের জন্য সঠিকভাবে প্রদর্শন করা প্রয়োজন, প্রযুক্তি বিশ্লেষক কারমি লেভি ব্যাখ্যা করেন। যে কাজ PHP করে, লেভি বলেছেন, সেই উপাদানগুলিকে একত্রিত করে এবং ওয়েবসাইটগুলিকে জীবন্ত করে তোলে।

“পিএইচপি নীরবে ব্যাকগ্রাউন্ডে কাজ করছে তা নিশ্চিত করার জন্য যে ওয়েবসাইটগুলি এটিকে সার্ভারে বসে থাকা বিচ্ছিন্ন ডেটা থেকে একটি লাইভ ওয়েবসাইটে তৈরি করে যা আপনি ব্রাউজারে, আপনার সামনে বসে থাকা ডিভাইসে ইন্টারঅ্যাক্ট করতে পারেন,” লেভি বলেছেন, যিনি লন্ডন, ওন্টে অবস্থিত৷

উইজ, সাইবার সিকিউরিটি ফার্মগুলির মধ্যে একটি যা সমস্যাটি সনাক্ত করতে সাহায্য করেছে, অনুমান করে যে প্রায় 70 শতাংশ ওয়েবসাইট পিএইচপি দ্বারা চালিত হয়, যেখানে ওয়েব প্রযুক্তি ট্র্যাকার W3Techs এই সংখ্যাটি 75 শতাংশে রাখে৷

বৃহস্পতিবার স্পেনের গুয়ের্নিকাতে আরকে সলিউশন সফ্টওয়্যার ডেভেলপমেন্ট কোম্পানিতে একজন প্রোগ্রামার পিএইচপি কোড নিয়ে কাজ করেন। (ভিনসেন্ট ওয়েস্ট/রয়টার্স)

লেভি বলেন, এই ব্যাপক ব্যবহার প্রযুক্তিটিকে ইন্টারনেটের কাজ করার জন্য প্রযুক্তির একটি “ভিত্তিমূলক” অংশ করে তোলে, লেভি বলেন, এবং সেই কারণেই এটির সাথে একটি দুর্বলতা সম্ভাব্য ব্যাপক-প্রসারী পরিণতি হতে পারে।

সমস্যা কি, এবং কিভাবে এটি আবিষ্কৃত হয়েছিল?

দুটি সাইবারসিকিউরিটি কোম্পানি – ক্যালিফ এবং উইজ –এর একদল গবেষক বুধবার ব্লগ পোস্ট প্রকাশ করেছেন, বলেছেন যে তারা পিএইচপি-তে দুটি দুর্বলতা খুঁজে পেয়েছেন। গবেষকরা একটি অংশ হিসাবে কাজ করা হয়েছে OpenAI প্রোগ্রাম পিএইচপি সহ ইন্টারনেট জুড়ে সম্ভাব্য দুর্বলতা সনাক্ত করতে।

রায়ান অস্টিন, সাইবার নিরাপত্তা গবেষক Calif.io যিনি সমস্যা শনাক্ত করতে সাহায্য করেছিলেন, তিনি বলেছেন যে তিনি 2004 সালে পিএইচপি-র নিরাপত্তা সংক্রান্ত সমস্যা সম্পর্কে অবগত ছিলেন এবং ওপেনএআই পাঠিয়েছিলেন অন্যান্য সম্ভাব্য বাগগুলির জন্য PHP-এর কোডের একই অংশে দেখতে GPT-5.6 Sol।

“এবং তারপর কয়েক দিন পরে, আমরা বেশ গুরুতর কিছু খুঁজে পেতে সক্ষম হই,” অস্টিন বলেছিলেন।

পিএইচপি ফাউন্ডেশন বুধবারের একটি রিলিজে ব্যাখ্যা করা হয়েছে যে উভয় সমস্যাই “PHP-এর এমন অংশে বসে যা প্রায় প্রতিটি অনুরোধ স্পর্শ করে: মেমরি ব্যবস্থাপনা এবং ত্রুটি পরিচালনা।”

অস্টিন ব্যাখ্যা করে যে পিএইচপি যখন একটি ত্রুটির সম্মুখীন হয়, তখন এটি মেমরির বিবরণ রেখে যায় যা দূষিত হতে পারে এবং সম্ভাব্যভাবে হ্যাকারদের সাইটে প্রবেশের পথ দেয়।

কারিগরি বিশ্লেষক কারমি লেভি বলেছেন যে পিএইচপি ইন্টারনেট জুড়ে এত ব্যাপকভাবে ব্যবহার করা হয় তার একটি অংশ যা এটির সাথে একটি দুর্বলতা তৈরি করে। (কারমি লেভি জমা দিয়েছেন)

একবার ভিতরে গেলে, হ্যাকাররা ওয়েবসাইটগুলিতে পরিবর্তন করতে সক্ষম হবে – সম্ভাব্যভাবে ম্যালওয়্যার ইনস্টল করা বা সাইটগুলি থেকে সামগ্রী মুছে ফেলা – বা লেভি অনুসারে পাসওয়ার্ডের মতো সংবেদনশীল ডেটা পড়তে।

উইজ বলেছিলেন যে দুর্বলতাগুলি এক দশকেরও বেশি সময় ধরে বিদ্যমান ছিল। পিএইচপি ফাউন্ডেশন স্বীকার করেছে যে একজন গবেষক 2024 সালে এই সম্ভাব্য শোষণের তত্ত্ব দিয়েছিলেন, কিন্তু সেই সময়ে এটি কার্যকর করার কোনও নির্দিষ্ট উপায় খুঁজে পাওয়া যায়নি।

পিএইচপি ফাউন্ডেশন বলেছে যে একটি সমাধান বাস্তবায়নে বিলম্ব হল সম্পদের অভাব এবং নিরাপত্তা দলের সিদ্ধান্ত প্রক্রিয়ার কারণে একটি “কাঠামোগত ব্যর্থতা”।

এটা কতটা গুরুতর?

লেভি এটির সাথে তুলনা করেছেন যদি দরজার জন্য তালা তৈরির অন্যতম জনপ্রিয় নির্মাতা আবিষ্কার করেন যে একটি মাস্টার কী ব্যবহার করার জন্য ব্যাপকভাবে উপলব্ধ ছিল।

“সুতরাং কেউ আক্ষরিক অর্থে আপনার সদর দরজা পর্যন্ত হেঁটে যেতে পারে, সেই মাস্টার কীটি ঢুকিয়ে দিতে পারে এবং তারা আপনার বাড়িতে অ্যাক্সেস পেতে পারে,” লেভি বলেছিলেন।

তিনি ব্যাখ্যা করেন যে কমন ভালনারেবিলিটি স্কোরিং সিস্টেম নামক কিছু ব্যবহার করে নিরাপত্তার ঘটনাগুলি শূন্য থেকে 10 স্কেলে স্কোর করা হয়। এইগুলিকে 9.2 হিসাবে র‌্যাঙ্ক করা হয়েছে, যা লেভি বলেছে যে তারা বেশ গুরুতর।

দেখুন | পিএইচপি ত্রুটি হ্যাকারদের জন্য দ্বার উন্মোচনের আশঙ্কার মধ্যে বিশ্বব্যাপী ওয়েবসাইটগুলি সরিয়ে নেওয়া হয়েছে:

ত্রুটিযুক্ত কোডগুলি হ্যাকারদের কাছে উন্মুক্ত করার পরে বিশ্বজুড়ে ওয়েবসাইটগুলি সরিয়ে নেওয়া হয়েছে৷

ডেভেলপাররা জনপ্রিয় PHP কোডে ত্রুটি খুঁজে পাওয়ার পর বিশ্বজুড়ে সরকারী এবং কর্পোরেট ওয়েবসাইটগুলিকে সরিয়ে দেওয়া হয়েছিল যা হ্যাকারদের সেনাবাহিনীর দরজা খুলে দিতে পারে।

“একটি প্রযুক্তির একটি দুর্বলতা যা প্রায় সবাই ব্যবহার করে মানে এখানে একটি সম্ভাব্য বিশ্বব্যাপী প্রভাব রয়েছে,” লেভি বলেছিলেন।

অস্টিনের দৃষ্টিকোণ থেকে, এটি “সম্ভবত সবচেয়ে খারাপ দুর্বলতাগুলির মধ্যে একটি যা আমি কখনও দেখেছি।”

এটা কিভাবে ঠিক করা হচ্ছে?

সাইবারসিকিউরিটি বিশেষজ্ঞরা বলছেন যে সুসংবাদটি হল একটি সমাধান বিদ্যমান।

পিএইচপি ফাউন্ডেশন বুধবার দুর্বলতার জন্য প্যাচ প্রকাশ করেছে এবং যারা তাদের ওয়েবসাইটে এটি ব্যবহার করে তাদের যত তাড়াতাড়ি সম্ভব সমাধানটি বাস্তবায়ন করার জন্য অনুরোধ করেছে।

সরকারী সাইবার নিরাপত্তা সংস্থা এবং কানাডা সহ সারা বিশ্বের সরকারী নেতারা সেই আহ্বানের প্রতিধ্বনি করেছেন।

কানাডা, ফ্রান্স এবং জাপানের সরকারী ওয়েবসাইট সহ অনেক ওয়েবসাইট, সম্ভাব্য নিরাপত্তা সমস্যা সমাধানের সময় অন্ধকার হয়ে গেছে। উদাহরণস্বরূপ, নিউফাউন্ডল্যান্ড এবং ল্যাব্রাডর এবং প্রিন্স এডওয়ার্ড আইল্যান্ডের প্রাদেশিক সাইটগুলি দিনের জন্য বন্ধ ছিল, তবে উভয়ই বৃহস্পতিবার আবার চালু হতে দেখা গেছে।

দ মার্কিন জাতীয় নিরাপত্তা সংস্থার সাইবার ইউনিট যেকোন সংস্থার জন্য আহ্বান করা হয়েছে যেগুলি অবিলম্বে সমস্যাটি প্যাচ করতে পারে না তাদের ওয়েবসাইটগুলিকে অফলাইনে নিয়ে যাওয়ার জন্য যতক্ষণ না সমাধান করা যায়।

ওয়েবসাইটগুলি কমে যাওয়ায় কিছুটা আতঙ্কের সৃষ্টি হয়েছে, লেভি বলেছেন যে গল্পটিতে একটি রূপালী আস্তরণ রয়েছে। গবেষকরা হ্যাকারদের করার আগে একটি দুর্বলতা চিহ্নিত করার পরে এই সাইটগুলিকে প্রচুর সতর্কতার জন্য অস্থায়ীভাবে নামিয়ে দেওয়া হয়েছিল, এবং লেভি বলেছেন যে এই ধরণের জিনিসগুলিকে পতাকাঙ্কিত করার সিস্টেমটি কাজ করছে।

পিএইচপি দুর্বলতা প্রকাশের পর বুধবার নিউফাউন্ডল্যান্ড এবং ল্যাব্রাডর সরকারী সাইট অফলাইন ছিল। (সিবিসি)

দুর্বলতা সর্বজনীন হওয়ার পরে কিছু সাইট হ্যাক করার চেষ্টা করেছে, কিন্তু সেগুলি কাজ করছে বলে মনে হচ্ছে না। ক্লাউডফ্লেয়ারের সিইও, উদাহরণস্বরূপ, সোশ্যাল মিডিয়ায় বলেছেন ক্লাউডফ্লেয়ার নেটওয়ার্ক ঘোষণার 45 মিনিটের মধ্যে এবং দুই ঘন্টার মধ্যে “শত হাজার” ত্রুটিটি কাজে লাগানোর জন্য কয়েক হাজার চেষ্টা করেছে।

বুধবার, পিএইচপি ফাউন্ডেশন একটি ইমেলে সিবিসি নিউজকে বলেছে যে তারা হ্যাকাররা সফলভাবে দুর্বলতা কাজে লাগাতে সক্ষম হওয়ার কোনো প্রমাণ দেখেনি।

আমার কি ব্যবস্থা নেওয়া দরকার?

সাইবারসিকিউরিটি বিশেষজ্ঞরা বলছেন যে সমস্যাটি ওয়েবসাইটগুলির পিছনের প্রান্তকে প্রভাবিত করে, তাই দায়িত্ব বেশিরভাগই তাদের উপর রয়েছে যারা সেগুলি চালায় – যেমন ব্যবসা বা অন্যান্য সংস্থা – তারা সমাধানটি বাস্তবায়ন করছে তা নিশ্চিত করার জন্য।

এটি বেশিরভাগ ক্ষেত্রে ওয়েবসাইট অপারেটরদের জন্য মোটামুটি সোজা – কিছুটা ব্যক্তিগত কম্পিউটার আপডেট করার মতো, প্যাকেটল্যাব থেকে প্রাইভেট অনুসারে।

“আপনাকে শুধু পিএইচপি-র নতুন সংস্করণে আপগ্রেড করতে হবে, এবং এটি আপনার 99 শতাংশ সমস্যার সমাধান করবে বলে মনে হচ্ছে,” প্রিভেট বলেছেন।

দেখুন | কিভাবে AI সাইবার আক্রমণকে দ্রুত এবং স্মার্ট করে তুলতে পারে:

AI সাইবার অ্যাটাককে আরও দ্রুত এবং স্মার্ট করে তুলতে পারে

একটি নতুন EY রিপোর্ট প্রস্তাব করে যে AI 2026 সালে সাইবার ক্রাইমের পিছনে একটি বড় শক্তি হয়ে উঠবে কারণ প্রোগ্রামগুলি আক্রমণকারীদের তাদের স্ক্যামিং দক্ষতা উন্নত করতে সহায়তা করে৷

কিন্তু যেহেতু দুর্বলতা এবং ফিক্সটি বেশ কিছুদিন ধরে প্রকাশ্যে আনা হয়েছে, তাই প্রিভেট বলেছেন ওয়েবসাইট মালিকদের সম্ভাব্য লঙ্ঘনের সূচকগুলির জন্য নজরদারি করতে হবে যা তারা প্যাচগুলি স্থাপন করতে সক্ষম হওয়ার আগে ঘটতে পারে।

“এটি সর্বদা একটি ভাল ধারণা যে আপনি প্যাচ করার পরে, যদি কেউ সেই বাগটি ব্যবহার করে আপনার সিস্টেমে প্রবেশ করে তবে কেবল আপসের সূচকগুলি সন্ধান করা,” প্রিভেট বলেছিলেন।

Privett সেই গ্রাহকদের উৎসাহিত করে যাদের নিজস্ব ওয়েবসাইট বা অ্যাপ আছে তারা সুরক্ষিত কিনা তা নিশ্চিত করতে তারা পিএইচপি ব্যবহার করে কিনা তা দুবার চেক করতে।

এবং সমস্ত ভোক্তাদের জন্য, লেভি বলেছেন যে তারা তাদের নিজস্ব ডিজিটাল নিরাপত্তা প্রোটোকল সর্বাধিক করে যেকোন সম্ভাব্য ধরণের ডেটা লঙ্ঘন থেকে নিজেদের রক্ষা করতে পারে। ভাল পাসওয়ার্ড স্বাস্থ্যবিধি অনুশীলন করা — পাসওয়ার্ডগুলি প্রায়শই পরিবর্তন করে এবং সেগুলি পুনরায় ব্যবহার না করে — এবং দ্বি-ফ্যাক্টর প্রমাণীকরণ সক্রিয় করে, উদাহরণস্বরূপ, হ্যাকাররা কোনও লঙ্ঘন করা ওয়েবসাইটে আপনার ডেটা অ্যাক্সেস করলেও, তারা আপনার বিরুদ্ধে সেই তথ্য ব্যবহার করতে ততটা কার্যকর হবে না তা নিশ্চিত করতে সহায়তা করুন৷