বিশ্বের অধিকাংশ ওয়েবসাইট পরিচালনায় ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হওয়ার পর সাইবার হামলার আশঙ্কা বেড়েছে। ত্রুটিটি কাজে লাগিয়ে হ্যাকাররা ওয়েবসাইটের সার্ভারের নিয়ন্ত্রণ নিতে, ব্যবহারকারীদের পাসওয়ার্ড ও ব্যক্তিগত তথ্য চুরি করতে এবং অনলাইন কেনাকাটা ও অন্যান্য ডিজিটাল সেবা ব্যাহত করতে পারে। নিরাপত্তা ত্রুটির খবর প্রকাশ্যে আসার পরপরই এটি কাজে লাগানোর লাখ লাখ প্রচেষ্টা শনাক্ত হয়েছে বলে জানিয়েছে ইন্টারনেট নিরাপত্তা প্রতিষ্ঠান ক্লাউডফ্লেয়ার।
পিএইচপি নামের এই প্রোগ্রামিং ভাষা বিশ্বের প্রায় ৭০ শতাংশ ওয়েবসাইটে ব্যবহৃত হয়। ফলে এর নিরাপত্তা দুর্বলতা শুধু নির্দিষ্ট কোনো প্রতিষ্ঠান নয়, বরং অনলাইন সেবা, বাণিজ্যিক প্রতিষ্ঠান, সরকারি ওয়েবসাইট এবং সাধারণ ব্যবহারকারীদের জন্যও বড় ঝুঁকি তৈরি করেছে।
কয়েক ঘণ্টায় লাখো হামলার চেষ্টা
ক্লাউডফ্লেয়ারের প্রধান নির্বাহী ম্যাথিউ প্রিন্স বুধবার এক পোস্টে জানান, নিরাপত্তা ত্রুটির ঘোষণা প্রকাশের আগের ১০ ঘণ্টায় তাদের নেটওয়ার্কে এটি কাজে লাগানোর হাজারো প্রচেষ্টা শনাক্ত হয়েছিল। ঘোষণার পর প্রথম ৪৫ মিনিটে সেই সংখ্যা কয়েক দশ হাজারে পৌঁছায়। দুই ঘণ্টার মধ্যে তা কয়েক লাখে উন্নীত হয় এবং পরে হামলার প্রচেষ্টা লাখের গণ্ডি ছাড়িয়ে কয়েক লাখ থেকে লাখোতে পৌঁছে যায়।
নিরাপত্তা প্রতিষ্ঠান স্যানসেক আশঙ্কা করছে, ত্রুটিটির বিস্তারিত প্রকাশ্যে আসার পর বিশ্বজুড়ে ব্যাপকভাবে এটি কাজে লাগানোর চেষ্টা হতে পারে।
পিএইচপি ওয়েবসাইটের পেছনে কাজ করে। ব্যবহারকারী কোনো অ্যাকাউন্টে প্রবেশ করলে, ফরম পূরণ করলে কিংবা অনলাইনে কেনাকাটা করলে সার্ভারকে প্রয়োজনীয় তথ্য প্রক্রিয়াকরণে সহায়তা করে এই সফটওয়্যার। এটি বিনা মূল্যে ব্যবহারযোগ্য উন্মুক্ত সফটওয়্যার এবং স্বেচ্ছাসেবী ডেভেলপাররা এর রক্ষণাবেক্ষণ করেন।
জনপ্রিয় ওয়েবসাইট তৈরির ব্যবস্থা ওয়ার্ডপ্রেসও পিএইচপির ওপর নির্ভরশীল। বিশ্বের দুই-পঞ্চমাংশের বেশি ওয়েবসাইট ওয়ার্ডপ্রেস ব্যবহার করে। ফলে পিএইচপির দুর্বলতা ওয়েবসাইটের বিস্তৃত একটি অংশকে ঝুঁকির মুখে ফেলেছে।
কৃত্রিম বুদ্ধিমত্তার সাহায্যে শনাক্ত ত্রুটি
পিএইচপির নিরাপত্তা দুর্বলতাটি শনাক্ত করতে কৃত্রিম বুদ্ধিমত্তা বা এআই ব্যবহার করা হয়েছে। সাইবার নিরাপত্তা গবেষক রায়ান অস্টিন আগস্টে ক্যালিফ নামের একটি প্রতিষ্ঠানে কাজ করার সময় ওপেনএআইয়ের উন্নত এআই ব্যবস্থা ব্যবহার করে ত্রুটিটি শনাক্ত করেন বলে ওয়াল স্ট্রিট জার্নালের প্রতিবেদনে উল্লেখ করা হয়েছে।
গবেষকদের ধারণা ছিল, সফটওয়্যারের একটি অংশে দুর্বলতা থাকতে পারে। তবে সেটি কাজে লাগানো কঠিন হওয়ায় বড় ধরনের বিপদের আশঙ্কা কম বলে মনে করা হয়েছিল।
অস্টিনের অনুসন্ধানে দেখা যায়, বিশেষভাবে তৈরি অনুরোধ বারবার ওয়েবসাইটে পাঠিয়ে সার্ভারের তথ্য প্রক্রিয়াকরণের পদ্ধতিতে হস্তক্ষেপ করা সম্ভব। এর মাধ্যমে আক্রমণকারী সার্ভারকে নিজের নির্দেশ অনুযায়ী কাজ করাতে পারে। নিরাপত্তা ত্রুটিটি পিএইচপির গত ১৪ বছরের সংস্করণগুলোকে প্রভাবিত করে থাকতে পারে বলে তিনি সতর্ক করেছেন।
বিশেষজ্ঞদের আশঙ্কা, অপরাধীরা এই দুর্বলতা ব্যবহার করে গুরুত্বপূর্ণ প্রতিষ্ঠানের সার্ভারে প্রবেশের সুযোগ পেতে পারে। এরপর তথ্য চুরি, মুক্তিপণ আদায়ের উদ্দেশ্যে সিস্টেম অচল করা কিংবা অন্য সাইবার অপরাধ চালানো সম্ভব হতে পারে।
জরুরি নিরাপত্তা হালনাগাদ, বিশ্বজুড়ে সতর্কতা
ত্রুটিটি শনাক্ত হওয়ার পর সেটি ঠিক করতে গোপনে আন্তর্জাতিক পর্যায়ে কাজ শুরু হয়। গুগল, ওপেনএআই এবং বিভিন্ন সাইবার নিরাপত্তা প্রতিষ্ঠানের গবেষকেরা পিএইচপি ডেভেলপারদের সঙ্গে মিলে সমাধান তৈরির উদ্যোগ নেন।
পিএইচপির রক্ষণাবেক্ষণের দায়িত্বে থাকা ফাউন্ডেশনের নিরাপত্তা প্রকৌশলী ভলকার ডুশ ত্রুটিটিকে এক দশকেরও বেশি সময়ের মধ্যে সফটওয়্যারটির সবচেয়ে গুরুতর নিরাপত্তা সমস্যাগুলোর একটি হিসেবে বর্ণনা করেছেন।
নিরাপত্তা হালনাগাদ ২২ অক্টোবর বৃহস্পতিবার প্রকাশের পরিকল্পনা থাকলেও মঙ্গলবার সংশোধনীর তথ্য ফাঁস হয়ে যায়। এরপর নির্ধারিত সময়ের আগেই বুধবার জরুরি হালনাগাদ প্রকাশ করা হয়।
বিবিসির ও স্থানীয় কাউন্সিলের কয়েকটি ওয়েবসাইটসহ বিভিন্ন অনলাইন সেবা সাময়িকভাবে বন্ধ রাখা হয়েছে বলে প্রতিবেদনে জানানো হয়েছে। নেদারল্যান্ডস, ফিনল্যান্ড, ফ্রান্স ও জার্মানির সরকারি ওয়েবসাইটও বন্ধ করা হয়। উইকিপিডিয়া পরিচালনাকারী উইকিমিডিয়া ফাউন্ডেশন তাদের কিছু সহায়ক সেবা সাময়িকভাবে বন্ধ রাখে। জাপানের জনপ্রিয় অনলাইন গেম ও কেনাকাটার সেবাও বিঘ্নিত হয়।
শুধু ত্রুটি সারালেই চলবে না
সাইবার নিরাপত্তা বিশেষজ্ঞদের মতে, সংশ্লিষ্ট সার্ভারে নিরাপত্তা হালনাগাদ স্থাপন করাই একমাত্র চ্যালেঞ্জ নয়। কোনো প্রতিষ্ঠানের ওয়েবসাইট, কনটেন্ট ব্যবস্থাপনা ব্যবস্থা, হোস্টিং প্ল্যাটফর্ম কিংবা তৃতীয় পক্ষের সফটওয়্যারে কোথায় কোথায় পিএইচপি চলছে, তা শনাক্ত করাও জরুরি।
সফোসের কাউন্টার থ্রেট ইউনিটের নিরাপত্তা বিশেষজ্ঞ ডন স্মিথ বিবিসিকে বলেছেন, হ্যাকারদের কাছে এই ত্রুটি অগ্রাধিকারপ্রাপ্ত লক্ষ্য হয়ে উঠতে পারে। তাই নিরাপত্তা হালনাগাদের পাশাপাশি আগে থেকেই কোনো আক্রমণকারী সিস্টেমে প্রবেশ করেছে কি না, তার লক্ষণও খুঁজতে হবে।
যুক্তরাজ্যের সাবেক জাতীয় সাইবার নিরাপত্তা কেন্দ্রপ্রধান সিয়ারান মার্টিন সতর্ক করে বলেছেন, এই ত্রুটি থেকে বড় ধরনের তথ্য চুরির ঝুঁকি রয়েছে। চুরি হওয়া তথ্যের মধ্যে ব্যাংক কার্ডের ব্যক্তিগত বিবরণও থাকতে পারে। ফলে ভবিষ্যতে প্রতারণামূলক বার্তা ও আর্থিক জালিয়াতির বিষয়ে ব্যবহারকারীদের সতর্ক থাকতে হবে।
সরকারি সূত্র জানিয়েছে, সরকারি ওয়েবসাইটগুলোতে সম্ভাব্য ঝুঁকি শনাক্ত ও নিরাপত্তা হালনাগাদ নিশ্চিত করার কাজ চলছে। যেসব প্রতিষ্ঠান নিজস্ব সার্ভার পরিচালনা করে, তাদের দ্রুত সংশোধনী স্থাপন করতে হবে। আর বাইরের হোস্টিং সেবার ওপর নির্ভরশীল ওয়েবসাইটগুলোর ক্ষেত্রে সংশ্লিষ্ট সেবাদাতাদের হালনাগাদ নিশ্চিত করা গুরুত্বপূর্ণ।
বিশ্বের অধিকাংশ ওয়েবসাইটে ব্যবহৃত পিএইচপির গুরুতর নিরাপত্তা ত্রুটি কাজে লাগিয়ে সাইবার হামলার চেষ্টা বেড়েছে। জরুরি নিরাপত্তা হালনাগাদ প্রকাশের পাশাপাশি বিশ্বজুড়ে ওয়েবসাইট ও সার্ভার সুরক্ষায় তৎপরতা চলছে।
