আপাতদৃষ্টিতে প্রায় নিরীহ দুটি ত্রুটি গত এক যুগ ধরে পিএইচিতে বাসা বেঁধেছিলো। এআই আসার পরে সেই ত্রুটি ধরা পড়ার পড়ে বিশ্বের ইন্টারনেট ব্যবস্থা প্রায় বন্ধ হতে যাচ্ছিলো।

পিএইচপির এই দুটি পুরোনো ত্রুটি দিয়ে পাসওয়ার্ড ছাড়াই ওয়েবসাইট দখল করা যাচ্ছে। প্যাচ না নিলে ঝুঁকি থেকেই যাবে।

ত্রুটি দুটির সাধারণ নাম PHP2Shell। এগুলো কাজে লাগালে দূর থেকেই কোনো সার্ভারে ঢোকা যায়। এজন্য পাসওয়ার্ড বা কারও ক্লিকের দরকার হয় না। এরপর ক্ষতিকর সফটওয়্যার বসিয়ে তথ্য চুরি করা সম্ভব।

ইন্টারনেটের প্রায় ৭০ শতাংশ ওয়েবসাইট পিএইচপির ওপর নির্ভর করে। ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা ও মিডিয়াউইকিও এর ওপর চলে। বাংলাদেশে যারা এসব প্ল্যাটফর্মে সাইট চালান, তাদের জন্যও একই ঝুঁকি প্রযোজ্য।

ত্রুটি দুটি আসলে ২০২৪ সালেই প্রথম ধরা পড়েছিল। তখন এগুলোকে কাজে লাগানোর মতো মনে হয়নি। সম্প্রতি গবেষণা প্রতিষ্ঠান Calif এর ব্যবহারের উপায় খুঁজে পায়। প্রতিষ্ঠানটি বিষয়টি পিএইচপি ফাউন্ডেশনকে জানায়।

পিএইচপি ফাউন্ডেশন বুধবার, ২১ অক্টোবর প্যাচ প্রকাশ করে। বড় কোম্পানি ও হোস্টিং প্রতিষ্ঠান আগেভাগেই তা পেয়েছিল। ব্যাংক, হাসপাতাল ও কিছু সরকারি সংস্থাসহ অনেকে সাময়িকভাবে সার্ভার বন্ধ রাখে।

প্যাচ আসার আগেই হামলা শুরু হয়েছিল বলে জানিয়েছে অ্যামাজন। প্রতিষ্ঠানটির ব্লগ অনুযায়ী, ১৭ অক্টোবর থেকেই অপব্যবহারের চিহ্ন মিলেছে। ক্লাউডফ্লেয়ারের প্রধান নির্বাহী ম্যাথিউ প্রিন্স বলেন, প্রকাশের পর হামলার চেষ্টা দ্রুত বেড়েছে। প্যালো আল্টো নেটওয়ার্কস ও ট্রেইল অব বিটস নিশ্চিত করেছে, কিছু ক্ষেত্রে সফল অনুপ্রবেশ ঘটেছে।

TechCrunch-এর প্রতিবেদনে আশঙ্কা করা হয়েছে, ছোট আইটি দল ও একক ডেভেলপাররা হালনাগাদে পিছিয়ে পড়তে পারেন। এতে ঝুঁকি আরও কিছুদিন থেকে যেতে পারে।

সূত্র: TechCrunch