উপ-শিরোনাম: একটি ত্রুটি, কয়েক মিলিয়ন হ্যাকিং প্রচেষ্টা এবং শতাব্দী প্রাচীন কোডের ওপর দাঁড়িয়ে থাকা আধুনিক বিশ্বের নগ্ন সত্য
তথ্য প্রযুক্তি কণ্ঠ ডেস্ক :
বুধবার রাত। জাপানের টোকিও শহরে তখনও অফিস খোলা। হঠাৎ করেই দেশটির সবচেয়ে বড় ব্যাংক মিতসুবিশি ইউএফজে-র অনলাইন লেনদেন বন্ধ। একই সময়ে বন্ধ হয়ে গেল অল নিপ্পন এয়ারওয়েজ বা এএনএ-র টিকিট বুকিং, ইস্ট জাপান রেলওয়ের সিট রিজার্ভেশন, এমনকি সরকারের অর্থ মন্ত্রণালয়ের ওয়েবসাইট। কারণ একটাই, পর্দার আড়ালে চলছে বিশ্বজুড়ে এক নীরব যুদ্ধ।
গত দুই দিনে বিশ্ব যা দেখল, তা গত এক দশকে দেখেনি। ইন্টারনেটের প্রায় আশি শতাংশ ওয়েবসাইট যে ভাষায় চলে, সেই পিএইচপি-তে ধরা পড়েছে এক ভয়াবহ নিরাপত্তা ত্রুটি। যার নাম দেওয়া হয়েছে পিএইচপি টু শেল। এই একটি ত্রুটির কারণে টোকিও থেকে হেলসিংকি, প্যারিস থেকে সিউল পর্যন্ত বন্ধ করে দিতে হয়েছে হাজার হাজার গুরুত্বপূর্ণ ওয়েবসাইট। আর এই সুযোগে কৃত্রিম বুদ্ধিমত্তা ব্যবহার করে প্রতি ঘণ্টায় লাখ লাখ হ্যাকিংয়ের চেষ্টা চালাচ্ছে সাইবার অপরাধীরা।
পিএইচপি আসলে কী? কেন এটি এত গুরুত্বপূর্ণ?
আমরা যখন কোনো ওয়েবসাইটে ঢুকি, তখন দুটি জিনিস কাজ করে। একটি হলো এইচটিএমএল, যা ওয়েবসাইটের কঙ্কাল বা চেহারা তৈরি করে। আরেকটি হলো পিএইচপি, যা ওয়েবসাইটের মস্তিষ্ক হিসেবে কাজ করে। আপনি যখন ফেসবুকে লগইন করেন, যখন অনলাইনে ব্যাংকের টাকা ট্রান্সফার করেন, যখন ট্রেনের টিকিট কাটেন, তখন পর্দার আড়ালে পিএইচপি-ই সেই কাজটি করে দেয়।
ওয়ার্ডপ্রেস, ফেসবুকের শুরুর দিকের সংস্করণ, উইকিপিডিয়া থেকে শুরু করে বিশ্বের প্রায় ৭৫ শতাংশ ওয়েবসাইট সরাসরি পিএইচপির ওপর নির্ভরশীল। এটি তিন দশকেরও বেশি পুরনো একটি প্রোগ্রামিং ভাষা। পুরনো হলেও এর ওপরই দাঁড়িয়ে আছে আধুনিক ডিজিটাল অর্থনীতি। আর সেই ভিত্তির মধ্যেই লুকিয়ে ছিল এক ভয়ংকর ফাটল।
কী ঘটেছে? দুটি কোড যা বিশ্বকে নাড়িয়ে দিল
পিএইচপি ডেভেলপমেন্ট টিম বুধবার, ২১ অক্টোবর আনুষ্ঠানিকভাবে জানায়, তারা দুটি অত্যন্ত সংকটজনক ত্রুটি খুঁজে পেয়েছে। এই ত্রুটি দুটির নাম সিভিই-২০২৬-১০৯৬১৮ এবং সিভিই-২০২৬-১০৯৬১৯। নিরাপত্তা বিশেষজ্ঞরা একে সংক্ষেপে বলছেন পিএইচপি টু শেল।
ত্রুটির ভয়াবহতা বোঝাতে সিভিএসএস স্কেলে এর স্কোর দেওয়া হয়েছে ৯.২, যেখানে ১০ হলো সর্বোচ্চ বিপদ। কোনো কোনো সাইবার নিরাপত্তা গবেষণা প্রতিষ্ঠান, যেমন ওয়াচটাওয়ার, একে ১০-এ ১০ দিয়েছে।
এই ত্রুটির মাধ্যমে কী করা সম্ভব? একজন হ্যাকারকে কোনো পাসওয়ার্ড, কোনো ইউজারনেম, কোনো বৈধ একাউন্ট লাগবে না। শুধুমাত্র একটি বিশেষভাবে তৈরি ওয়েব রিকোয়েস্ট পাঠিয়েই সে সার্ভারের সম্পূর্ণ নিয়ন্ত্রণ নিয়ে নিতে পারে। একে বলা হয় আনঅথেনটিকেটেড রিমোট কোড এক্সিকিউশন। অর্থাৎ দূর থেকে কোড চালিয়ে সার্ভার দখল। একবার দখল নিতে পারলে সে ওয়েবসাইটের সব তথ্য চুরি করতে পারে, ওয়েবসাইটে ভুয়া পেজ বসিয়ে দিতে পারে, এমনকি সেই সার্ভারকে ব্যবহার করে অন্য জায়গায় হামলা চালাতে পারে।
সবচেয়ে ভয়ের ব্যাপার হলো, এই ত্রুটি পিএইচপির প্রায় সব আধুনিক সংস্করণেই আছে। পিএইচপি-এফপিএম, অ্যাপাচি মড পিএইচপি, পিএইচপি-সিজিআই, ফ্রাঙ্কেনপিএইচপি, লাইটস্পিডের মতো যেভাবেই পিএইচপি চলুক না কেন, সবখানেই এটি কাজ করে।
কীভাবে ধরা পড়ল এই ত্রুটি? কৃত্রিম বুদ্ধিমত্তার দ্বৈত ভূমিকা
প্রযুক্তি বিশেষজ্ঞরা জানাচ্ছেন, এই ত্রুটি আজকের নয়। এটি বছরের পর বছর ধরে কোডের ভেতরে ঘুমিয়ে ছিল। কেউ খেয়াল করেনি। সম্প্রতি কৃত্রিম বুদ্ধিমত্তা প্রযুক্তি ব্যবহার করে কোড বিশ্লেষণের সময় এটি ধরা পড়ে।
কিন্তু এখানেই তৈরি হয় এক নতুন সংকট। বেলজিয়ামের বিখ্যাত সাইবার নিরাপত্তা প্রতিষ্ঠান আইকিডো সিকিউরিটির সহ-প্রতিষ্ঠাতা ম্যাডেলিন লরেন্স জানান, নিরাপত্তা প্যাচ বা সংশোধনী পুরোপুরি প্রস্তুত হওয়ার আগেই এই ত্রুটির বিস্তারিত তথ্য কোনোভাবে ফাঁস হয়ে যায়। আর ফাঁস হওয়ার সঙ্গে সঙ্গেই হ্যাকাররা কৃত্রিম বুদ্ধিমত্তা ব্যবহার করে স্বয়ংক্রিয় হামলার টুল তৈরি করে ফেলে।
ফলে শুরু হয় এক অসম দৌড়। একদিকে ডেভেলপাররা প্যাচ তৈরিতে ব্যস্ত, অন্যদিকে হ্যাকাররা এআই দিয়ে কোটি কোটি সার্ভার স্ক্যান করছে।
এই দৌড়ের চিত্র তুলে ধরেছেন ক্লাউডফ্লেয়ার-এর প্রধান নির্বাহী ম্যাথিউ প্রিন্স। তিনি সামাজিক মাধ্যম এক্সে লিখেছেন, ত্রুটি ঘোষণার আগের ১০ ঘণ্টায় যেখানে কয়েক হাজার হামলার চেষ্টা হয়েছিল, ঘোষণার মাত্র দুই ঘণ্টার মধ্যে তা লাখ ছাড়িয়ে যায় এবং এখন তা কয়েক মিলিয়নে পৌঁছেছে। আমাজনের মতো জায়ান্ট প্রতিষ্ঠানও স্বীকার করেছে, তাদের ক্লাউড সিস্টেমে নজিরবিহীন হামলার চেষ্টা চলছে।
বিশ্বজুড়ে ডোমিনো প্রভাব: কে কোথায় বন্ধ হলো?
এই ঘটনার প্রভাব সবচেয়ে বেশি পড়েছে জাপানে।
১. নোমুরা হোল্ডিংস: দেশটির সবচেয়ে বড় ব্রোকারেজ হাউস তাদের অনলাইন ট্রেডিং পোর্টাল বন্ধ করে দেয়।
২. মিতসুবিশি ইউএফজে ব্যাংক: গ্রাহকদের অনলাইন ব্যাংকিং সাময়িকভাবে স্থগিত করে।
৩. অল নিপ্পন এয়ারওয়েজ, ইস্ট জাপান রেলওয়ে: টিকিট বুকিং ও রিজার্ভেশন সেবা বন্ধ।
৪. আসাহি গ্রুপ, টোকিও মেরিন ইন্স্যুরেন্স: কর্পোরেট ওয়েবসাইট ও গ্রাহক সেবা বন্ধ।
৫. জাপান সরকার: অর্থ মন্ত্রণালয়, আবহাওয়া অধিদপ্তর, জাতীয় রাজস্ব বোর্ড তাদের অনলাইন পোর্টাল আংশিক বন্ধ রাখে নাগরিকদের তথ্য সুরক্ষার জন্য।
জাপানের বাইরেও একই চিত্র। ফ্রান্সের টেলিকম জায়ান্ট অরেঞ্জ তাদের গ্রাহক সেবা পোর্টাল বন্ধ করে দেয়। ফিনল্যান্ডের সরকারি প্রযুক্তি সেবাদাতা প্রতিষ্ঠান ভালতোরি সতর্কতামূলকভাবে পিএইচপি নির্ভর সব সরকারি সেবা বন্ধ করে সারারাত আপডেট চালায়। দক্ষিণ কোরিয়া তাদের বেসরকারি খাতের সাইবার সতর্কতা সর্বোচ্চ পর্যায়ে উন্নীত করেছে। চীন সরকার দেশের সব সংস্থাকে ২৪ ঘণ্টার মধ্যে পিএইচপি আপডেট করার কঠোর নির্দেশ দিয়েছে।
প্যাচ এসেছে, কিন্তু সমাধান কি এত সহজ?
পিএইচপি ডেভেলপমেন্ট টিম ২১ অক্টোবর জরুরি ভিত্তিতে চারটি নতুন সংস্করণ প্রকাশ করেছে: পিএইচপি ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ এবং ৮.২.৩৫। যারা এই সংস্করণগুলোতে আপডেট করবেন, তারা নিরাপদ।
কিন্তু সমস্যা হলো অন্য জায়গায়।
প্রথমত, পৃথিবীতে এখনও লাখ লাখ সার্ভার পিএইচপি ৮.১, ৮.০, ৭.৪, এমনকি ৫.এক্স সংস্করণে চলছে, যেগুলোর জন্য আর কোনো অফিসিয়াল প্যাচ দেওয়া হবে না। সাইবার নিরাপত্তা গবেষকদের হিসাব অনুযায়ী, প্রায় ৮ লাখ ৮৪ হাজার সার্ভার সরাসরি ইন্টারনেটে উন্মুক্ত অবস্থায় আছে যারা কখনোই এই প্যাচ পাবে না।
দ্বিতীয়ত, বড় কোম্পানিগুলো রাতারাতি আপডেট করতে পারলেও ছোট ও মাঝারি ব্যবসা, স্কুল, কলেজ, পৌরসভা, পুরনো ই-কমার্স সাইটগুলোর জন্য এটি এক দুঃস্বপ্ন। জার্মানির ডিজিটাল ইন্ডাস্ট্রি অ্যাসোসিয়েশনের নিরাপত্তা প্রধান ফেলিক্স কুলেনকাম্প বলেন, বড় প্রতিষ্ঠান দ্রুত আপডেট করতে পারলেও ছোট ব্যবসা বা পুরনো পিএইচপি সংস্করণে চলা জটিল সিস্টেমগুলোর স্বাভাবিক অবস্থায় ফিরতে কয়েক দিন থেকে কয়েক সপ্তাহ পর্যন্ত সময় লেগে যেতে পারে। অনেকের ক্ষেত্রে পুরো ওয়েবসাইট নতুন করে বানাতে হবে।
তৃতীয়ত, প্যাচ দেওয়ার আগে যদি কোনো সার্ভার হ্যাক হয়ে থাকে, তাহলে শুধু আপডেট করলেই হবে না। হ্যাকাররা ভেতরে ওয়েবশেল নামের গোপন দরজা রেখে যেতে পারে। তাই বিশেষজ্ঞরা বলছেন, সার্ভারের লগ ফাইল পরীক্ষা করা, অচেনা ফাইল খোঁজা এবং সম্পূর্ণ সিস্টেম স্ক্যান করা জরুরি।
এই ঘটনা আমাদের কী শেখাল?
জার্মানিতে এক অনুষ্ঠানে মাইক্রোসফটের প্রধান নির্বাহী সত্য নাদেলা বলেন, আমি অনেক দীর্ঘ সময়ে এমন ভয়াবহ পরিস্থিতি দেখিনি। প্রযুক্তি ও আইটি নিরাপত্তা কর্মীদের জন্য এটি নিশ্চিতভাবেই একটি দীর্ঘ ও কঠিন রাত ছিল।
তার এই মন্তব্য আসলে একটি বড় সত্যের দিকে আঙুল তোলে। আমরা কৃত্রিম বুদ্ধিমত্তা, কোয়ান্টাম কম্পিউটিং, মেটাভার্স নিয়ে স্বপ্ন দেখছি, কিন্তু আমাদের পুরো ডিজিটাল বিশ্ব দাঁড়িয়ে আছে তিন দশক আগে লেখা কিছু ওপেন সোর্স কোডের ওপর। যে কোডগুলো রক্ষণাবেক্ষণ করেন মুষ্টিমেয় কয়েকজন স্বেচ্ছাসেবী ডেভেলপার, কোনো বিশাল বাজেট ছাড়াই।
এই ঘটনাকে বিশেষজ্ঞরা বলছেন প্যাচ গ্যাপ। অর্থাৎ প্যাচ তৈরি হওয়া এবং তা সবার সিস্টেমে পৌঁছানোর মধ্যে যে বিশাল সময়ের ফাঁক, সেই ফাঁকেই হামলা হয়। কৃত্রিম বুদ্ধিমত্তা এই ফাঁককে আরও ছোট করে দিয়েছে হ্যাকারদের জন্য। এখন একটি ত্রুটি ফাঁস হওয়ার কয়েক মিনিটের মধ্যেই এআই দিয়ে লাখ লাখ সার্ভারে হামলা চালানো সম্ভব।
তাই এখন প্রশ্ন হলো, আমরা কি শুধু পিএইচপি আপডেট করেই নিরাপদ? উত্তর হলো, না। আমাদের পুরো পদ্ধতিটাই বদলাতে হবে।
১. সরকারি ও বেসরকারি প্রতিষ্ঠানগুলোকে পুরনো কোডের ওপর নির্ভরতা কমিয়ে নিয়মিত আপডেটের সংস্কৃতি গড়ে তুলতে হবে।
২. ওপেন সোর্স প্রকল্পগুলোতে আরও বেশি অর্থায়ন ও জনবল দিতে হবে, যাতে তারা দ্রুত ত্রুটি খুঁজে বের করতে পারে।
৩. ছোট ব্যবসাগুলোর জন্য সহজ ও সস্তা নিরাপত্তা টুল তৈরি করতে হবে।
বিশ্বজুড়ে ওয়েবসাইট বন্ধের এই হিড়িক আমাদের চোখে আঙুল দিয়ে দেখিয়ে দিল, ইন্টারনেট নামের যে মহাসড়কে আমরা প্রতিদিন চলি, তার নিচের সেতুগুলো কতটা নড়বড়ে। পিএইচপি বিপর্যয় হয়তো কয়েক দিনের মধ্যে ঠিক হয়ে যাবে, কিন্তু যে প্রশ্নটি থেকে যাবে তা হলো, পরবর্তী ভূমিকম্পের জন্য আমরা কতটা প্রস্তুত?
প্রকাশিত: শুক্রবার, ২৩ অক্টোবর ২০২৬ খ্রি.
