ওয়েবসাইট তৈরিতে বহুল ব্যবহৃত প্রোগ্রামিং ভাষা 'পিএইচপি' (PHP)-র দুটি গুরুতর নিরাপত্তাত্রুটি ঘিরে বিশ্বজুড়ে তীব্র উদ্বেগ তৈরি হয়েছে। এসব ত্রুটি কাজে লাগিয়ে কোনো পাসওয়ার্ড ছাড়াই দূর থেকে ওয়েবসাইট বা সার্ভারে প্রবেশ করে তথ্য চুরি কিংবা ক্ষতিকর সফটওয়্যার ইনস্টল করতে সক্ষম হচ্ছেন হ্যাকাররা। বিশ্বের প্রায় ৭০ শতাংশ ওয়েবসাইট পিএইচপির ওপর নির্ভরশীল হওয়ায় এ ত্রুটির প্রভাব সুদূরপ্রসারী হতে পারে বলে আশঙ্কা করা হচ্ছে।
প্রযুক্তিবিষয়ক সংবাদমাধ্যম টেকক্রাঞ্চ-এর প্রতিবেদনে জানানো হয়, গত বুধবার ‘পিএইচপি২শেল’ (PHP2Shell) নামে দুটি নিরাপত্তাত্রুটি প্রকাশ্যে আসে, যেগুলোকে যথাক্রমে CVE-2026-109618 ও CVE-2026-109619 হিসেবে চিহ্নিত করা হয়েছে। ত্রুটি দুটি সংশোধনে 'পিএইচপি ফাউন্ডেশন' ইতোমধ্যে সিকিউরিটি আপডেট প্রকাশ করেছে। তবে বহু সার্ভারে এখনো সেই আপডেট ইনস্টল না হওয়ায় সেগুলো মারাত্মক ঝুঁকিতে রয়েছে।
ত্রুটিগুলো যেভাবে কাজ করে
ওয়ার্ডপ্রেস, ড্রুপাল ও জুমলার মতো জনপ্রিয় ওয়েব প্ল্যাটফর্মগুলোতে পিএইচপি ব্যাপকভাবে ব্যবহৃত হয়। সাইবার নিরাপত্তা বিশেষজ্ঞরা জানান, এ ত্রুটির সবচেয়ে বিপজ্জনক দিক হলো—আক্রমণ চালানোর জন্য ব্যবহারকারীর কোনো ফাইল ডাউনলোড করা বা লিংকে ক্লিক করার প্রয়োজন হয় না। সার্ভারে আপডেট না থাকলে হ্যাকাররা দূর থেকেই ক্ষতিকর নির্দেশ বা 'রিমোট কোড এক্সিকিউশন' (RCE) চালাতে পারে। এর মাধ্যমে পরবর্তীতে আবারও প্রবেশের পথ তৈরি, ডেটা চুরি বা ক্ষতিকর সফটওয়্যার স্থাপন করা সম্ভব।
কৃত্রিম বুদ্ধিমত্তার সহায়তায় শনাক্ত
ক্যালিফ নামের একটি প্রতিষ্ঠানের নিরাপত্তা গবেষকরা ওপেনএআই এবং ক্লাউড সিকিউরিটি প্রতিষ্ঠান উইজ (Wiz)-এর যৌথ উদ্যোগের অংশ হিসেবে পিএইচপির কোড নিরীক্ষার সময় ত্রুটি দুটি খুঁজে পান। গবেষণার কাজে কৃত্রিম বুদ্ধিমত্তা (AI)-এর সহায়তা নেওয়া হয়েছিল। অ্যামাজন জানিয়েছে, সিকিউরিটি আপডেট প্রকাশের আগেই গত ১৭ অক্টোবরের দিকে হ্যাকাররা এই ত্রুটি কাজে লাগিয়ে হামলার চেষ্টা চালায়।
বিশেষজ্ঞদের পরামর্শ ও করণীয়
পালো অল্টো নেটওয়ার্কস ও ট্রেইল অব বিটস জানিয়েছে, ইতোমধ্যেই এই ত্রুটি ব্যবহার করে অনুপ্রবেশের নানা প্রমাণ মিলেছে। বিশেষ করে যেসব ছোট প্রতিষ্ঠান বা ব্যক্তি সময়মতো ওয়েবসাইট আপডেট করেন না, তারা বেশি ঝুঁকিতে থাকবেন।
সাইবার বিশেষজ্ঞরা ওয়েবসাইট ও সার্ভার পরিচালকদের দ্রুত পিএইচপির নিরাপত্তা হালনাগাদ (Security Update) ইনস্টল করার, সার্ভারের লগ ফাইল পরীক্ষা করার এবং অননুমোদিত প্রবেশের লক্ষণ খুঁজে দেখার জোর পরামর্শ দিয়েছেন।
