পিএইচপি ত্রুটিতে বিশ্বজুড়ে সাইবার তৎপরতা: সরকার ও বড় কোম্পানিগুলো ঝুঁকি খুঁজছে
বিশ্বের বিপুলসংখ্যক ওয়েবসাইটের ভিত্তি হিসেবে কাজ করা পিএইচপি প্রোগ্রামিং ভাষায় গুরুতর সাইবার নিরাপত্তা ত্রুটি শনাক্ত হওয়ার পর যুক্তরাজ্য সরকার বলেছে, তারা তাদের অনলাইন সেবাগুলোতে সম্ভাব্য ঝুঁকি শনাক্ত করার কাজ করছে। অ্যামাজনসহ বিশ্বের বড় বড় কোম্পানি ও বিভিন্ন দেশের সরকার হ্যাকাররা ত্রুটিগুলো কাজে লাগানোর আগেই নিজেদের ব্যবস্থা সুরক্ষিত করতে তৎপর হয়েছে।
ত্রুটিগুলো প্রথমে কৃত্রিম বুদ্ধিমত্তা দিয়ে আবিষ্কার করা হয়। এরপর সরকারগুলো পিএইচপি ব্যবহারকারী সবাইকে সেগুলো ঠিক করার আহ্বান জানায়। যুক্তরাজ্য সরকারের একজন মুখপাত্র বলেছেন, বড়-ছোট, সরকারি-বেসরকারি সব সংগঠনেরই নিজেদের ব্যবস্থা সুরক্ষিত করতে নির্দেশনা অনুসরণ করা উচিত।
যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার এবং ইউরোপীয় ইউনিয়ন ও অস্ট্রেলিয়ায় তার সমমানের সংস্থাগুলো আগেই পিএইচপি ব্যবহারকারীদের সংশোধনী প্রয়োগের আহ্বান জানিয়েছিল। সেন্টারটি এক নোটে বলেছে, যেখানে তাৎক্ষণিক প্রতিকার সম্ভব নয়, সেখানে পুরোপুরি ঝুঁকি কমানো না যাওয়া পর্যন্ত ব্যবস্থাটি অফলাইনে নেওয়ার কথা বিবেচনা করা উচিত।
পিএইচপি বিপুলসংখ্যক প্ল্যাটফর্মকে চালিত করে, যার মধ্যে রয়েছে অনলাইন দোকান, উইকিপিডিয়া এবং ওয়ার্ডপ্রেস — ব্লগসহ অনেক ওয়েবসাইটের পেছনে থাকা কনটেন্ট ব্যবস্থাপনা ব্যবস্থা। উইকিপিডিয়ার মতো কোনো ওয়েবসাইটে গেলে পিএইচপি কোডই প্রয়োজনীয় তথ্য সংগ্রহ করে পাঠযোগ্য আকারে উপস্থাপন করে।
অ্যামাজন বুধবার জানায়, তারা ১৭ অক্টোবর একটি ‘পিএইচপি-টু-শেল’ শোষণচেষ্টা শনাক্ত করেছে। কোম্পানির নিরাপত্তা প্রধান সিজে মোজেস বলেন, একটি বেনামি ইন্টারনেট ঠিকানা থেকে অ্যামাজনের একটি ফাঁদ বা ‘হানিপট’ ব্যবস্থার দুর্বলতা লক্ষ্য করে হামলার চেষ্টা করা হয়। বেনামি আইপি ঠিকানার ব্যবহার ইঙ্গিত করে, এটি কোনো হুমকিদাতা পক্ষের কাজ ছিল।
পিএইচপি ফাউন্ডেশন এই মাসের শেষের দিকে সম্পূর্ণ সংশোধনীসহ আবিষ্কারটি প্রকাশ করার পরিকল্পনা করেছিল। কিন্তু মঙ্গলবার সামাজিক মাধ্যমে ত্রুটির বিবরণ ফাঁস হয়ে যায়। মোজেস বলেন, ২১ অক্টোবর অ্যামাজনের ওপর পরবর্তী হামলাগুলোতে ব্যবহৃত উপাদান ও বেনামি অবকাঠামোর ধরন ভিন্ন ছিল, যা ইঙ্গিত করে সেগুলো একাধিক পক্ষের কাজ। এই হামলাগুলো ফাঁসের পর হলেও সতর্কবার্তার ওপর নিষেধাজ্ঞা তোলার আগেই ঘটে।
সতর্কবার্তা প্রকাশ্যে আসার আগেই অ্যামাজন আক্রমণের শিকার হয়েছিল — এমনটাই জানিয়েছে কোম্পানিটি। তবে হামলাকারীরা দুর্বলতাগুলো সম্পর্কে কীভাবে জানতে পারল, তা স্পষ্ট নয়। মোজেস আরও বলেন, কৃত্রিম বুদ্ধিমত্তার ব্যবহারের কারণে কোনো দুর্বলতার কারিগরি বিবরণ প্রকাশ পাওয়ার পর এখন আরও বেশি পক্ষ ঘণ্টা বা এমনকি মিনিটের মধ্যে তৎপর হতে পারে।
অস্ট্রেলিয়ান কাউন্সিল অন এআই স্ট্র্যাটেজির প্রধান নির্বাহী আনা-মারিয়া আরাবিয়া বলেন, পিএইচপি ঘটনা দেখিয়ে দিয়েছে কৃত্রিম বুদ্ধিমত্তা কত দ্রুত সাইবার নিরাপত্তার চিত্র বদলে দিচ্ছে। তাঁর ভাষায়, একটি দুর্বলতা উন্মোচন করতে আগে যেখানে মাস লাগত, এখন সেখানে দিন লাগছে। তিনি সতর্ক করেন, কৃত্রিম বুদ্ধিমত্তা প্রযুক্তি দ্রুত উন্নত হওয়ার সঙ্গে সঙ্গে হুমকি আরও সাধারণ হয়ে উঠবে।
পিএইচপি ত্রুটিগুলো অন্তত এক দশক ধরে অশনাক্ত ছিল। সাইবার নিরাপত্তা প্রতিষ্ঠান উইজের হিসাব অনুযায়ী, ইন্টারনেটের মোটামুটি ৭০ শতাংশ এতে আক্রান্ত হতে পারে, যদিও এই সংখ্যা স্বাধীনভাবে যাচাই করা যায়নি। ওপেনএআই এই আবিষ্কারকে সাম্প্রতিক স্মৃতিতে সবচেয়ে প্রভাবশালী নিরাপত্তা সমস্যাগুলোর একটি বলে অভিহিত করেছে।
সতর্কতামূলক ব্যবস্থা হিসেবে নেদারল্যান্ডসের সাইবার নিরাপত্তা সংস্থা অফলাইনে চলে যায় এবং ফিনল্যান্ড সরকার তার সরকারি ওয়েব সেবা বন্ধ করে দেয়। উইকিপিডিয়াও তার ওয়েবসাইটের কিছু অংশ নামিয়ে নেয়। যুক্তরাষ্ট্রসহ বিভিন্ন সরকারের পরামর্শের সঙ্গে সামঞ্জস্য রেখেই এই পদক্ষেপ নেওয়া হয় — ত্রুটি তাৎক্ষণিকভাবে ঠিক করা না গেলে ওয়েবসাইট বন্ধ রাখতে বলা হয়েছিল।
যুক্তরাষ্ট্রের ন্যাশনাল সিকিউরিটি এজেন্সি বলেছে, শনাক্ত করা দুর্বলতাগুলো প্রায়ই সার্ভারের ফাইল ব্যবস্থা বা ডেটাবেসে সরাসরি পথ তৈরি করে দেয়। পরবর্তী হালনাগাদে সংস্থাটি বলেছে, হামলাকারীরা সংবেদনশীল তথ্য চুরি করতে, সেবা ব্যাহত করতে বা নেটওয়ার্কের আরও গভীরে ঢুকতে পারে। এই দুর্বলতাগুলো পিএইচপির নিজের ত্রুটি, হোস্ট করা অ্যাপ্লিকেশন বা তার কনফিগারেশনের নয়।
এখন সরকার ও কোম্পানিগুলো নিজেদের সেবায় ঝুঁকির মাত্রা শনাক্ত করার পাশাপাশি সংশোধনী প্রয়োগের দৌড়ে রয়েছে। ত্রুটির বিবরণ আগেভাগে ফাঁস হয়ে যাওয়া এবং সতর্কবার্তা প্রকাশের আগেই হামলার চেষ্টা হওয়ায় এই দৌড় আরও জরুরি হয়ে উঠেছে।
