পিএইচপির সাম্প্রতিক নিরাপত্তা ত্রুটি কতটা গুরুতর?
প্রকৃত ঝুঁকি নির্ভর করছে ওয়েবসাইটে ব্যবহৃত পিএইচপির সংস্করণ এবং সংশ্লিষ্ট নিরাপত্তা প্যাচ প্রয়োগ করা হয়েছে কি না, তার ওপর।
বিশ্বজুড়ে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা পিএইচপিতে দুটি গুরুতর নিরাপত্তা ত্রুটি শনাক্ত হওয়ার পর আক্রান্ত হতে পারে এমন ওয়েবসাইট সাময়িকভাবে বন্ধ রাখার পরামর্শ দিয়েছে ইউরোপীয় ইউনিয়নের সাইবার নিরাপত্তা সংস্থা। দ্রুত নিরাপত্তা আপডেট করতে না পারলে এই ব্যবস্থা নেওয়ার কথা বলেছে সংস্থাটি।
বুধবার পিএইচপি ডেভেলপমেন্ট টিম ত্রুটি দুটি সংশোধনে জরুরি নিরাপত্তা আপডেট বা প্যাচ প্রকাশের ঘোষণা দিয়েছে।
ব্রিটিশ সংবাদমাধ্যম ইন্ডিপেনডেন্টের প্রতিবেদন বলছে, এর আগে ত্রুটি দুটি নিয়ে উদ্বেগ ছড়িয়ে পড়লে ইউরোপের বিভিন্ন সরকারি সংস্থা সতর্কতামূলক ব্যবস্থা হিসেবে ওয়েবসাইট বন্ধ রেখেছে।
ওয়েব প্রযুক্তি গবেষণা সংস্থা ডব্লিউথ্রিটেকস-এর হিসাবে, যেসব ওয়েবসাইটের সার্ভার-সাইড প্রোগ্রামিং ভাষা শনাক্ত করা গেছে, তার প্রায় ৭০ শতাংশেই পিএইচপি ব্যবহৃত হয়। তবে এর অর্থ এই নয় যে, এসব ওয়েবসাইটের সবগুলোই নতুন শনাক্ত হওয়া নিরাপত্তা ত্রুটির ঝুঁকিতে রয়েছে। প্রকৃত ঝুঁকি নির্ভর করছে ওয়েবসাইটে ব্যবহৃত পিএইচপির সংস্করণ এবং সংশ্লিষ্ট নিরাপত্তা প্যাচ প্রয়োগ করা হয়েছে কি না, তার ওপর।
ইন্টারনেট অবকাঠামোর বড় একটি অংশ পিএইচপির ওপর নির্ভরশীল হওয়ায় এই ত্রুটির সম্ভাব্য প্রভাব নিয়ে গত ২৪ ঘণ্টায় উদ্বেগ বেড়েছে। এসব দুর্বলতা কাজে লাগিয়ে হামলাকারীরা অরক্ষিত ওয়েবসাইট ও সার্ভারে অনুপ্রবেশ করতে পারে বলে সতর্ক করেছেন সাইবার নিরাপত্তা বিশেষজ্ঞরা।
সাইবার নিরাপত্তা কোম্পানি হান্ট্রেস বলেছে, “ইন্টারনেটের সর্বত্রই পিএইচপির উপস্থিতি। এটি আড়ালে থেকে ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা ও ম্যাজেন্টার মতো শীর্ষস্থানীয় ওয়েবসাইট ব্যবস্থাপনা প্ল্যাটফর্ম, শেয়ার্ড হোস্টিং ও নিয়ন্ত্রণ প্যানেল পরিচালনা করছে। আরও অনেক সফটওয়্যারে এটি ব্যবহার করা হলেও প্রকাশ্যে এর উল্লেখ থাকে না।”
পিএইচপির নিরাপত্তা বিজ্ঞপ্তিতে বলা হয়েছে, শনাক্ত হওয়া দুটি ত্রুটির প্রতিটির তীব্রতা কমন ভালনারেবিলিটি স্কোরিং সিস্টেম বা সিভিএসএস স্কেলে ৯ দশমিক ২। এর মানে হচ্ছে এই ঝুঁকি গুরুতর।
এ কারণে যত দ্রুত সম্ভব সংশোধিত সংস্করণ ব্যবহারের আহ্বান জানিয়েছে পিএইচপি ডেভেলপমেন্ট দল। এরই মধ্যে গ্রিনিচ মান সময় বুধবার দুপুর ২টায় দুটি নিরাপত্তা প্যাচ প্রকাশ করা হয়েছে।
ওয়েব ও ক্লাউড নিরাপত্তা কোম্পানি ক্লাউডফ্লেয়ারের প্রধান প্রযুক্তি কর্মকর্তা ডেন কনেখট জানিয়েছেন, এই দুর্বলতা কাজে লাগিয়ে এরই মধ্যে প্রাথমিক পর্যায়ের কিছু সাইবার হামলা শনাক্ত করা গেছে। পরিস্থিতি সামাল দিতে তারা নিজেদের ফায়ারওয়ালের নিয়মাবলি আপডেট করছেন।
সামাজিক যোগাযোগমাধ্যম এক্স-এ তিনি লিখেছেন, “আমরা প্রাথমিক পর্যায়ের কিছু হামলা লক্ষ্য করেছি। নতুন ধরনের আক্রমণের ধরন বুঝে তা ঠেকাতে সাময়িক ব্যবস্থা নিচ্ছি।
“তবে এটি কেবল সাময়িক প্রতিরোধ। পিএইচপির আপডেটেড সংস্করণ প্রকাশের পরপরই সবাইকে নিজেদের সিস্টেমে নিরাপত্তা প্যাচ প্রয়োগ করতে হবে।”
মঙ্গলবার ইউরোপীয় ইউনিয়নের কম্পিউটার ইমার্জেন্সি রেসপন্স টিম এক সতর্কবার্তায় বলেছে, ৯ দশমিক ২ স্কোরের এই ত্রুটির কারণে ‘আনঅথেন্টিকেটেড রিমোট কোড এক্সিকিউশন’-এর ঝুঁকি রয়েছে। অর্থাৎ, কোনো অ্যাকাউন্টে প্রবেশ না করেই দূর থেকে অরক্ষিত সিস্টেমে ক্ষতিকর কোড বা নির্দেশনা চালাতে পারেন সাইবার হামলাকারীরা।
ইউরোপীয় ইউনিয়নের সংস্থাটি আক্রান্ত সব সিস্টেমে দ্রুত নিরাপত্তা প্যাচ প্রয়োগের প্রস্তুতি নিতে বিভিন্ন কোম্পানিকে নির্দেশ দিয়েছে। যেসব কোম্পানি দ্রুত আপডেট দিতে পারবে না, তাদের ওয়েবসাইট সাময়িকভাবে ইন্টারনেট থেকে বিচ্ছিন্ন রাখার পরামর্শও দিয়েছে তারা।
অস্ট্রেলিয়ার সাইবার নিরাপত্তা কেন্দ্রও একই ধরনের নির্দেশনা জারি করেছে। নিজেদের সিস্টেমে কোথায় পিএইচপি ব্যবহার করা হচ্ছে, তা চিহ্নিত করা, নিরাপত্তা প্যাচ প্রয়োগের প্রস্তুতি নেওয়া এবং সন্দেহজনক বা ক্ষতিকর কর্মকাণ্ডের লক্ষণ পর্যবেক্ষণে রাখার আহ্বান জানিয়েছে সংস্থাটি।
তবে সংস্থাটি বলেছে, “এখন পর্যন্ত এই ত্রুটিকে কাজে লাগিয়ে কোনো সক্রিয় সাইবার হামলার তথ্য আমাদের কাছে নেই।”
ওয়েব হোস্টিং সেবাদাতা কোম্পানি গোড্যাডিও সতর্ক করে বলেছে, এই নিরাপত্তা ত্রুটি কাজে লাগিয়ে হামলাকারীরা দূর থেকে সার্ভারে ক্ষতিকর কোড চালাতে পারে। এতে সংবেদনশীল তথ্য চুরি, ওয়েবসাইটের বিষয়বস্তু বিকৃত করা কিংবা পুরো সিস্টেমের নিয়ন্ত্রণ হাতিয়ে নেওয়ার ঝুঁকি তৈরি হয়।
ওয়ার্ডপ্রেস ওয়েবসাইটের নিরাপত্তা সেবাদাতা ওয়ার্ডফেন্স বলেছে, বিশ্বজুড়ে ওয়ার্ডপ্রেসের ওয়েবসাইটগুলো পিএইচপিনির্ভর সার্ভারে চলে। ফলে পিএইচপির নিরাপত্তা ত্রুটি এসব ওয়েবসাইটের জন্যও ঝুঁকি তৈরি করতে পারে।
ওয়ার্ডপ্রেসের স্বয়ংক্রিয় আপডেট দিয়ে এই সমস্যার সমাধান হবে না বলে জানিয়েছে প্রতিষ্ঠানটি। এ কারণে ওয়েবসাইটের মালিকদের নিজ নিজ সার্ভারে পিএইচপি আপডেটের দায়িত্বে থাকা ব্যক্তিদের সঙ্গে দ্রুত যোগাযোগের পরামর্শ দিয়েছে তারা।
পিএইচপি নিরাপত্তা দল জানিয়েছে, প্যাচ প্রকাশের পর নিরাপত্তা ত্রুটির বিস্তারিত বিবরণ, আক্রান্ত সংস্করণ এবং সংশোধিত সংস্করণ সম্পর্কে আনুষ্ঠানিক তথ্য প্রকাশ করা হবে।
ইউরোপীয় ইউনিয়নের কম্পিউটার ইমার্জেন্সি রেসপন্স টিম এবং অস্ট্রেলিয়ার সাইবার নিরাপত্তা কেন্দ্র সতর্ক করে বলেছে, পিএইচপি ৫ থেকে শুরু করে পরবর্তী সংস্করণগুলোও এই ঝুঁকির আওতায় পড়তে পারে।