PHP আজ, 21 অক্টোবর, 14:00 UTC-এ একটি আউট-অফ-সাইকেল নিরাপত্তা রিলিজ পাঠাবে, দুটি জটিল দুর্বলতার জন্য যেটির নিরাপত্তা দল CVSS v4.0 স্কেলে 9.2 রেট দিয়েছে কিন্তু বর্ণনা করেনি।
ওয়াচটাওয়ারের নিরাপত্তা গবেষকরা বলছেন যে দুটি ত্রুটি দূরবর্তী কোড কার্যকর করার অনুমতি দেয়। শুধুমাত্র চারটি সমর্থিত PHP শাখা, 8.2 থেকে 8.5, ফিক্স পেতে পারে, এবং এখনও পর্যন্ত কোনও শোষণের রিপোর্ট করা হয়নি।
অগ্রিম বিজ্ঞপ্তি একটি ফাঁস অনুসরণ. 20 অক্টোবর, HN-এর একটি পোস্টে বলা হয়েছে যে দুটি PHP রিমোট কোড এক্সিকিউশন ত্রুটি, CVSS 10.0 রেট দেওয়া এবং PHP 5 থেকে পরবর্তী সংস্করণগুলিকে প্রভাবিত করে, বৃহস্পতিবার, 22 অক্টোবর প্রকাশ করা হবে৷ পোস্টারে বলা হয়েছে যে তাদের কাছে “‘উৎস: বিশ্বাস করুন, ভাই’ এর বাইরে কোনো প্রমাণ নেই”।
watchTowr তারপর X-এ পোস্ট করেছে যে ফাঁস হওয়া তথ্যটি বাস্তব, যে দুটি ত্রুটি নিষেধাজ্ঞার অধীনে ছিল, প্রত্যেকের বৃহস্পতিবার পর্যন্ত অপেক্ষা করার কথা ছিল, এবং এটি আপাতত বেশি শেয়ার করতে পারে না।
পিএইচপি সেই সন্ধ্যায়, 19:33 ইউটিসি-তে তার বিজ্ঞপ্তি প্রকাশ করেছে, বুধবারের জন্য রিলিজ সেট সহ, ওয়াচটাওয়ার দেওয়া তারিখের একদিন আগে। বিজ্ঞপ্তিতে বলা হয়েছে যে PHP আগে প্রকাশ করতে পারে “যদি হয় দুর্বলতার বিবরণ প্রকাশ্যে আসে, অথবা সক্রিয় শোষণের প্রমাণ বন্য অঞ্চলে উপস্থিত হওয়া উচিত।”
ফাঁস ত্রুটিগুলির অস্তিত্ব, একটি স্কোর, একটি তারিখ এবং দুটি CVE সনাক্তকারী বহন করে, ত্রুটিগুলি কীভাবে কাজ করে তা নয়। CVSS 10.0 চিত্রটি লিক এর। স্কেলের 4.0 সংস্করণে PHP-এর রেটিং হল 9.2।
সনাক্তকারী গবেষকরা ব্যবহার করছেন, CVE-2026-109618 এবং CVE-2026-109619ফাঁস হওয়া পোস্টেও তালিকাভুক্ত করা হয়েছে। পিএইচপি এর নোটিশের নামও নেই। পিএইচপি 5 থেকে প্রতিটি সংস্করণ প্রভাবিত হওয়ার দাবিটিও অপ্রমাণিত: ত্রুটিগুলির বিষয়ে watchTowr-এর নিজস্ব FAQ বলে যে সুযোগ “কোনও অফিসিয়াল ভেন্ডর অ্যাডভাইজরি দ্বারা নিশ্চিত করা হয়নি” এবং কোনও কনফিগারেশন বা বৈশিষ্ট্যের প্রয়োজনীয়তা বর্ণনা করা হয়নি।
পিএইচপি বলছে “সম্পূর্ণ বিবরণ, প্রভাবিত সংস্করণ এবং স্থির সংস্করণ প্রকাশের সাথে প্রকাশ করা হবে।” গবেষকরা জোড়াটিকে php2shell বলা শুরু করেছেন। নামটি তাদের, পিএইচপির নয়।
প্রভাবিত পরিসর যাই হোক না কেন, পিএইচপি ইস্যু শুধুমাত্র তার চারটি সমর্থিত শাখার জন্য সংশোধন করে এবং প্রতিটি শাখার পরিবর্তনগুলি তার চেঞ্জলগে রেকর্ড করে। সংস্করণ 8.2 এবং 8.3 শুধুমাত্র নিরাপত্তা সংশোধন করে, এবং 8.4 এবং 8.5 সক্রিয় সমর্থনে রয়েছে।
8.1, 8.0, 7.x এবং 5.x সহ পুরানো যেকোন কিছু জীবনের শেষ এবং কোন PHP ফিক্স পায় না। যদি ত্রুটিগুলি সেই শাখাগুলিতে পৌঁছায় তবে সেগুলির ইনস্টলেশনগুলিতে কোনও বিক্রেতা প্যাচ থাকবে না৷
|
শাখা |
বর্তমান রিলিজ (সেপ্টেম্বর 24) |
পিএইচপি সমর্থন অবস্থা |
|---|---|---|
|
8.5 |
8.5.11 |
31 ডিসেম্বর, 2027 পর্যন্ত সক্রিয় সমর্থন |
|
৮.৪ |
8.4.26 |
31 ডিসেম্বর, 2026 পর্যন্ত সক্রিয় সমর্থন |
|
8.3 |
৮.৩.৩৫ |
শুধুমাত্র 31 ডিসেম্বর, 2027 পর্যন্ত নিরাপত্তা ফিক্স |
|
8.2 |
৮.২.৩৪ |
শুধুমাত্র 31 ডিসেম্বর, 2026 পর্যন্ত নিরাপত্তা ফিক্স |
নিরাপত্তা কোম্পানী ম্যালোরি প্রায় 884,000 ইন্টারনেট-মুখী হোস্ট গণনা করেছে যাদের HTTP ব্যানার 20 অক্টোবর শোডান সার্চ ইঞ্জিনে 8.1 বা তার বেশি PHP সংস্করণ রিপোর্ট করেছে, প্রায় 1.5 মিলিয়ন হোস্টের মধ্যে 59% যে কোনো সংস্করণ রিপোর্ট করেছে। গণনা ব্যানার কভার করে, প্রভাবিত সিস্টেম নিশ্চিত করা হয়নি, এবং আরও 740,000 হোস্ট একটি সংস্করণ ছাড়া PHP রিপোর্ট করেছে।
পিএইচপি কোন সমাধান প্রকাশ করেনি। রিলিজ না হওয়া পর্যন্ত, প্রস্তুতিটি ছয়টি ধাপে নেমে আসে, যার বেশিরভাগই হান্ট্রেসের একটি দ্রুত-প্রতিক্রিয়া পোস্ট থেকে আঁকা, CERT-EU-এর বিচ্ছিন্নতার পরামর্শ যুক্ত।
- বিক্রেতা যন্ত্রপাতি, উইন্ডোজ সফ্টওয়্যার, এবং cPanel এবং Plesk-এর মতো কন্ট্রোল প্যানেলে বান্ডিল করা PHP সহ প্রতিটি পিএইচপি ইনস্টলের ইনভেন্টরি।
- 14:00 UTC এ আপগ্রেড করার জন্য প্রস্তুত থাকুন৷ প্রথমে ইন্টারনেট-মুখী সিস্টেমগুলি প্যাচ করুন এবং ব্যাকপোর্ট করা প্যাকেজগুলির জন্য আপনার লিনাক্স বিতরণ এবং হোস্টিং প্রদানকারী পরীক্ষা করুন৷
- জীবনের শেষের শাখায়, আপগ্রেড করুন, সিস্টেমটি ইন্টারনেট থেকে সরিয়ে নিন, অথবা যতক্ষণ না পারেন ততক্ষণ এটি একটি VPN বা একটি ওয়েব অ্যাপ্লিকেশন ফায়ারওয়ালের পিছনে রাখুন।
- যেখানে প্যাচিং একবারে করা যায় না, CERT-EU পরামর্শ দেয় যে আপনি “একটি সমাধান উপলব্ধ না হওয়া পর্যন্ত সর্বজনীন নেটওয়ার্কগুলি থেকে ইন্টারনেট-মুখী অ্যাপ্লিকেশনগুলিকে আলাদা করার কথা বিবেচনা করুন।”
- দেখুন পিএইচপি কি শুরু হয়। php-fpm, php-cgi, httpd, বা apache2 লঞ্চিং শেল, দোভাষী, বা ডাউনলোড সরঞ্জামগুলিতে সতর্কতা। লিনাক্স সার্ভারে এন্ডপয়েন্ট সনাক্তকরণ ছাড়াই, ফ্লোরিয়ান রথের প্রসেস-ওয়াচার প্রতিটি প্রোগ্রামের লগ লগ করে যা একটি পিএইচপি প্রক্রিয়া শুরু হয়, তার কমান্ড লাইন দিয়ে। এটি শুরু হওয়ার পরেই এটি একটি প্রোগ্রাম দেখতে পায় এবং রথের ভাষায়, “কিছুই আটকায় না।”
- আপনি যদি কিছু খুঁজে পান, সার্ভারটিকে আলাদা করুন, ওয়েব সার্ভার এবং পিএইচপি লগগুলি সংরক্ষণ করুন এবং ওয়েব শেল, ওয়েব রুটে নতুন ফাইল, নতুন ক্রোন কাজ, নির্ধারিত কাজ এবং অ্যাকাউন্টগুলি সন্ধান করুন৷
হান্ট্রেস বলেছেন যে এটি 20 অক্টোবর পর্যন্ত তার অংশীদার পরিবেশে ত্রুটিগুলির শোষণ দেখেনি, ধারণার প্রমাণ তৈরি বা পুনরুত্পাদন করেনি এবং জনসাধারণের শোষণ কোড সম্পর্কে সচেতন ছিল না। ওয়াচটাওয়ারের প্রায়শই জিজ্ঞাসিত প্রশ্নগুলি শোষণকে তালিকাভুক্ত করে কারণ 21 অক্টোবর পর্যন্ত কোনও রিপোর্ট করা হয়নি এবং ত্রুটিগুলি CISA-এর পরিচিত শোষিত দুর্বলতা ক্যাটালগে নেই৷
তুলনা করার জন্য, যখন CVE-2024-4577, Windows-এ CGI মোডে একটি PHP ত্রুটি, 2024 সালের জুন মাসে প্রকাশ্যে আসে, তখন Akamai 24 ঘন্টার মধ্যে তার হানিপট সার্ভারগুলির বিরুদ্ধে শোষণের প্রচেষ্টা দেখেছিল৷
বিজ্ঞপ্তিতে কী আটকানো হয়েছে তা স্পষ্ট করা উচিত: কোন সংস্করণগুলি প্রভাবিত হয়েছে, PHP-এর কোন অংশ জড়িত, আক্রমণের জন্য পিএইচপি চালানোর একটি নির্দিষ্ট উপায়, একটি কনফিগারেশন বা লগইন প্রয়োজন কিনা এবং পিএইচপি নিজেই কীভাবে ত্রুটিগুলি বর্ণনা করে। লেখার সময়, পিএইচপি ফিক্সগুলি প্রকাশ করেনি।
