পিএইচপি টু শেল: এআইয়ের খুঁজে পাওয়া যে ত্রুটিতে বিশ্বজুড়ে ওয়েবসাইট বন্ধ, বাংলাদেশেও ধাক্কা

গত সপ্তাহে হঠাৎ করেই ইউরোপের একের পর এক সরকারি ওয়েবসাইট বন্ধ হয়ে যায়। নেদারল্যান্ডসের সরকারি পোর্টাল, ফিনল্যান্ডের সরকারি ওয়েব সেবা, ফ্রান্সের স্বরাষ্ট্র মন্ত্রণালয়ের স্থানীয় প্রশাসনের সাইট, ডেনমার্কের স্কুল যোগাযোগ প্ল্যাটফর্ম, যুক্তরাজ্যের ৩২টি সরকারি সেবা। ঢাকায় বন্ধ হয় বাংলাদেশ ব্যাংকের ওয়েবসাইট, স্থগিত হয় ভূমি মন্ত্রণালয়ের ডিজিটাল সেবা। কোনো সাইবার হামলা হয়নি, তবু এত বড় সতর্কতা। কারণ একটাই: পিএইচপি নামের একটি প্রোগ্রামিং ভাষার ভেতরে পাওয়া দুটি ত্রুটি, যার নাম দেওয়া হয়েছে "পিএইচপি টু শেল" (PHP2Shell)।

পিএইচপি কী, কেন এত গুরুত্বপূর্ণ

পিএইচপি হলো ওয়েবসাইটের "পেছনের" ভাষা। ব্যবহারকারী যখন কোনো সাইটে লগইন করেন, ফর্ম পূরণ করেন বা কোনো তথ্য খোঁজেন, সার্ভারে সেই কাজটা অনেক ক্ষেত্রে করে পিএইচপি। যেসব ওয়েবসাইটের সার্ভার-ভাষা শনাক্ত করা যায়, তার প্রায় ৭০ শতাংশ চলে পিএইচপিতে। ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা, ম্যাজেন্টোর মতো জনপ্রিয় কনটেন্ট ও ই-কমার্স প্ল্যাটফর্মও পিএইচপিনির্ভর। শুধু ওয়ার্ডপ্রেসেই চলে বিশ্বের প্রায় ৪৩ শতাংশ ওয়েবসাইট।

ফলে পিএইচপির কোনো একটি প্লাগইন বা থিমে নয়, খোদ ভাষার মূল কাঠামোয় ত্রুটি মানে ঝুঁকিতে পড়ে কোটি কোটি সাইট। নিরাপত্তা প্রতিষ্ঠান পালো আল্টো নেটওয়ার্কস ইন্টারনেটে উন্মুক্ত এমন সোয়া দুই কোটির বেশি পিএইচপি সার্ভার শনাক্ত করেছে, যেগুলো ঝুঁকিতে থাকতে পারে।

ত্রুটিটা আসলে কী

দুটি ত্রুটিই পিএইচপির মেমোরি ব্যবস্থাপনায়। সহজ ভাষায়:

• প্রথম ত্রুটি (CVE-2026-109618): কোনো অনুরোধ সামলাতে গিয়ে পিএইচপির মেমোরি ফুরিয়ে গেলে কিছু তথ্য আধাআধি তৈরি অবস্থায় থেকে যায়। পরে পিএইচপি সেগুলোকে ঠিকঠাক ধরে নিয়ে কাজ চালায়। এই ফাঁক দিয়ে আক্রমণকারী সার্ভারে নিজের কোড চালাতে পারে।
• দ্বিতীয় ত্রুটি (CVE-2026-109619): একটি অনুরোধ শেষ হওয়ার পরও তার কিছু পুরোনো তথ্যের "ঠিকানা" মেমোরিতে থেকে যায়। একই সার্ভারে পরের অনুরোধ সেই বাসি তথ্য ধরে ফেলতে পারে। এতে পাসওয়ার্ড, লগইন টোকেন বা এপিআই চাবির মতো সংবেদনশীল তথ্য ফাঁস হতে পারে, এমনকি কোড চালানোও সম্ভব।

সবচেয়ে বড় ভয় এখানেই: আক্রমণকারীকে কোনো পাসওয়ার্ড বা অ্যাকাউন্ট লাগে না। শুধু বিশেষভাবে তৈরি একটি অনুরোধ পাঠিয়েই সার্ভারের "শেল" বা নিয়ন্ত্রণ হাতে নেওয়া যায়। নামটিও সেখান থেকে: পিএইচপি থেকে সরাসরি শেলে। দুটি ত্রুটির ঝুঁকিমান ১০-এর মধ্যে ৯.২। আর ত্রুটিগুলো আছে ২০১২ সালের পিএইচপি ৫.৪ থেকে সর্বশেষ ৮.৫ পর্যন্ত প্রায় সব সংস্করণে।

এআই যেভাবে খুঁজে পেল

এই ঘটনার সবচেয়ে আলোচিত দিক হলো, এক যুগের বেশি সময় মানুষের চোখ এড়িয়ে যাওয়া ত্রুটি ধরেছে কৃত্রিম বুদ্ধিমত্তা। আগস্টে মার্কিন নিরাপত্তা প্রতিষ্ঠান ক্যালিফের গবেষক রায়ান অস্টিন ওপেনএআইয়ের জিপিটি-৫.৬ সল মডেল দিয়ে পিএইচপির সোর্স কোড পরীক্ষা করার সময় ত্রুটি দুটি পান। কাজটি ছিল ওপেনএআইয়ের "প্যাচ দ্য প্ল্যানেট" উদ্যোগের অংশ, যার লক্ষ্য গুরুত্বপূর্ণ উন্মুক্ত সফটওয়্যারের ত্রুটি আগেভাগে খুঁজে বের করা। প্রায় একই সময়ে ক্লাউড নিরাপত্তা প্রতিষ্ঠান উইজও আলাদাভাবে গুগলের জেমিনি ও ওপেনএআইয়ের মডেল ব্যবহার করে একই ত্রুটি পায়।

মজার বিষয়, ২০২৪ সালে পিএইচপির এক মূল ডেভেলপার একটি ত্রুটির মূল সমস্যাটি দেখেছিলেন। কিন্তু কীভাবে ঠিক করা হবে তা নিয়ে ঐকমত্য হয়নি, আর তখন কেউ দেখাতে পারেনি যে এটি দিয়ে আসলে আক্রমণ করা যায়। এআই সেই কাজটাই করে দেখিয়েছে।

এখানে এআইয়ের দুই মুখ স্পষ্ট। যে প্রযুক্তি রক্ষকদের হাতে লুকোনো ত্রুটি খুঁজে দিচ্ছে, সেই একই প্রযুক্তি আক্রমণকারীর হাতেও আছে। ত্রুটি খোঁজা যত দ্রুত হচ্ছে, হালনাগাদ করার সময়ও তত কমছে।

ফাঁস, তাড়াহুড়া আর বিশ্বজুড়ে বন্ধ

পরিকল্পনা ছিল, সংশোধিত সংস্করণ তৈরি হওয়ার পর একটি নির্দিষ্ট দিনে ত্রুটির কথা প্রকাশ করা হবে। কিন্তু ২০ অক্টোবর তথ্যটি আগেই ফাঁস হয়ে যায়: অনলাইন ফোরামে পোস্ট, সামাজিক মাধ্যমে একটি নিরাপত্তা প্রতিষ্ঠানের বার্তা, আর ভুল করে প্রকাশ হয়ে যাওয়া একটি প্রদর্শনী ভিডিও। পিএইচপি তখন নির্ধারিত সময়ের এক দিন আগে, ২১ অক্টোবর জরুরি হালনাগাদ প্রকাশ করে।

যুক্তরাষ্ট্রের ন্যাশনাল সিকিউরিটি এজেন্সি (এনএসএ) পরামর্শ দেয়, এখনই হালনাগাদ করা না গেলে সিস্টেম ইন্টারনেট থেকে বিচ্ছিন্ন রাখতে। ইউরোপীয় ইউনিয়নের সার্ট-ইইউ আর যুক্তরাজ্যের জাতীয় সাইবার নিরাপত্তা কেন্দ্রও সতর্কতামূলক বন্ধের পরামর্শ দেয়। এরপরই শুরু হয় বিশ্বজুড়ে বন্ধের ঢেউ। উইকিমিডিয়া ফাউন্ডেশন তাদের বেশ কিছু সহায়ক সেবা বন্ধ করে, ইন্টারনেট আর্কাইভ কিছুক্ষণের জন্য বন্ধ থাকে, জাপানের কয়েকটি গেম আর বহু ই-কমার্স সাইটও বন্ধ হয়।

ক্লাউডফ্লেয়ারসহ নিরাপত্তা প্রতিষ্ঠানগুলো জানিয়েছে, ত্রুটি প্রকাশের পরপরই এগুলো কাজে লাগানোর চেষ্টা শুরু হয়। তবে এখন পর্যন্ত এই ত্রুটি দিয়ে বড় কোনো তথ্য চুরি বা সিস্টেম দখলের ঘটনা নিশ্চিতভাবে জানা যায়নি।

বাংলাদেশে কী হলো

বাংলাদেশ কম্পিউটার কাউন্সিলের অধীন বিজিডি ই-গভ সার্ট ২২ অক্টোবর জরুরি সতর্কবার্তা দেয়। সরকারি সংস্থা, আর্থিক প্রতিষ্ঠান আর টেলিযোগাযোগ অপারেটরদের বলা হয়, সব পিএইচপি সিস্টেমের তালিকা করে ইন্টারনেটে উন্মুক্ত সেবাগুলো আগে হালনাগাদ করতে। সরকারি পোর্টাল, এপিআই, প্রশাসনিক সিস্টেম আর ই-কমার্স প্ল্যাটফর্মকে ঝুঁকির তালিকায় রাখা হয়।

সংশ্লিষ্ট সূত্রে জানা গেছে:

• বাংলাদেশ ব্যাংক: ২২ অক্টোবর দুপুরে ওয়েবসাইট বন্ধ করে, প্রায় আড়াই দিন পর ২৪ অক্টোবর সকালে চালু হয়।
• ভূমি মন্ত্রণালয়: land.gov.bd-এর ডিজিটাল ভূমি সেবা প্রায় ৩৬ ঘণ্টা বন্ধ ছিল।
• বাণিজ্যিক ব্যাংক: অগ্রণী, জনতা, বেঙ্গল কমার্শিয়াল, আইএফআইসি, স্ট্যান্ডার্ড ইসলামী ও এসবিএসি ব্যাংকের ওয়েবসাইট কিছু সময় বন্ধ ছিল, হালনাগাদের পর এগুলো আবার চালু হয়েছে।

সার্টের সাইবার থ্রেট ইন্টেলিজেন্স ইউনিট নিয়মিত পর্যবেক্ষণে দেখেছে, সতর্কতার পরও বেশ কিছু সাইট ঝুঁকিতে রয়ে গেছে। সংস্থাটি সাফ বলেছে, সাময়িকভাবে প্রবেশ আটকে রাখা হালনাগাদের বিকল্প নয়, আর ঘটনা ঘটার অপেক্ষায় বসে থাকা চলবে না। তবে কতগুলো সাইট ঝুঁকিতে, তা প্রকাশ করা হয়নি। দেশের সরকারি সাইটের কতটা পিএইচপিতে চলে, তারও কোনো প্রকাশিত হিসাব নেই। খাতসংশ্লিষ্টদের ধারণা, দেশের অধিকাংশ ওয়েবসাইটই পিএইচপিনির্ভর, আর কিছু সিস্টেম এতই পুরোনো যে সহজে হালনাগাদ করা যায় না।

এখনো শেষ হয়নি

২৩ অক্টোবর পিএইচপি আরেকটি সম্পর্কিত ত্রুটির কথা জানায় (CVE-2026-115560), যা সদ্য হালনাগাদ করা সংস্করণেও আছে। তবে এটি কেবল বিশেষ ধরনের অস্বাভাবিক সেটিংসে কাজ করে, তাই ঝুঁকি কম। এর সমাধান আসবে পরের নিয়মিত হালনাগাদে। ততদিন পিএইচপির সেটিংসে "সেশন আপলোড প্রোগ্রেস" বন্ধ রাখার পরামর্শ দেওয়া হয়েছে, যা আগের ত্রুটির ক্ষেত্রেও কাজে লাগে।

ওয়েবসাইট চালান? যা করবেন

• হালনাগাদ: পিএইচপি ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ বা ৮.২.৩৫-এ উঠুন। হোস্টিং প্রতিষ্ঠান বা সিপ্যানেলের হালনাগাদও দেখে নিন।
• পুরোনো সংস্করণ: ৮.১ বা তার আগের সংস্করণে আর আনুষ্ঠানিক হালনাগাদ আসে না। দ্রুত নতুন সংস্করণে যান, নয়তো সাইট সাময়িক বন্ধ রাখুন বা ফায়ারওয়ালের আড়ালে নিন।
• সাময়িক সুরক্ষা: session.upload_progress.enabled বন্ধ করুন, ওয়েব ফায়ারওয়াল চালু রাখুন। তবে মনে রাখুন, এগুলো হালনাগাদের বিকল্প নয়।
• তল্লাশি: সার্ভারের লগ পরীক্ষা করুন। ওয়েব ফোল্ডারে অচেনা ফাইল, নতুন অ্যাকাউন্ট বা নির্ধারিত কাজ (ক্রন জব) পেলে সাইট বিচ্ছিন্ন করে বিশেষজ্ঞের সাহায্য নিন।

পিএইচপি টু শেল দেখিয়ে দিল, ইন্টারনেটের বড় একটা অংশ দাঁড়িয়ে আছে অল্প কয়েকজন মানুষের রক্ষণাবেক্ষণ করা উন্মুক্ত সফটওয়্যারের ওপর। পিএইচপি ফাউন্ডেশনের পূর্ণ ও খণ্ডকালীন কর্মী মাত্র ১৩ জন, চলে অনুদানে। এআই এখন সেই সফটওয়্যারের পুরোনো দুর্বলতা দ্রুত খুঁজে বের করছে। প্রশ্ন হলো, আমরা সেগুলো সারাতে পারছি কতটা দ্রুত। বাংলাদেশের জন্য শিক্ষাটা আরও জরুরি: সরকারি ও আর্থিক সেবার ডিজিটাল ব্যবস্থার একটা হালনাগাদ তালিকা আর দ্রুত সাড়া দেওয়ার সক্ষমতা ছাড়া পরের এমন ধাক্কা আরও কঠিন হবে।