বিশ্বজুড়ে ওয়েবসাইটের ওপর কয়েক মিলিয়ন হামলার চেষ্টা চলছে। নিরাপত্তা সংস্থাগুলোর বরাত দিয়ে দ্য গার্ডিয়ান জানিয়েছে, পিএইচপি প্রোগ্রামিং ভাষার একটি সদ্য প্রকাশ পাওয়া ত্রুটিই এই চেষ্টার লক্ষ্য। যুক্তরাষ্ট্রের ন্যাশনাল সিকিউরিটি এজেন্সি (এনএসএ) সতর্ক করেছে, ত্রুটিটি কাজে লাগিয়ে আক্রমণকারীরা ওয়েব সার্ভারের দখল নিতে, তথ্য চুরি করতে ও সেবা অচল করে দিতে পারে।

পিএইচপি এমন এক ভাষা, যার ওপর ভর করে চলছে বিশ্বের প্রায় ৭০ শতাংশ ওয়েবসাইট। ত্রুটিটি সামনে আসে বুধবার। তারপর বিভিন্ন দেশের সরকার ও প্রতিষ্ঠান আক্রান্ত হওয়ার আগেই নিজেদের সাইট ইন্টারনেট থেকে নামিয়ে নেয়, যাতে নিরাপদে মেরামত করা যায়। একটি বিষয় জানা দরকার। হামলার চেষ্টা মানে হামলা সফল হওয়া নয়; ক্লাউডফ্লেয়ারের দেখা হামলার ট্রাফিকও নিশ্চিত করে না যে চেষ্টাগুলো কাজ করেছে।

ত্রুটি আসলে দুটি, নাম CVE-2026-109618 ও CVE-2026-109619। প্রতিটির তীব্রতা ১০-এর মধ্যে ৯.২। গোলমালটা পিএইচপির একেবারে ভেতরে। ক্লাউড নিরাপত্তা সংস্থা উইজের গবেষকদের ব্যাখ্যায়, মেমোরি ফুরিয়ে যাওয়ার মতো মারাত্মক ভুল সামলাতে গিয়ে পিএইচপি ভেতরে ভাঙা অবস্থা ফেলে রাখে, আর পরের কোনো অনুরোধ সেই অবস্থা ব্যবহার করে বসে। ফল: লগইন ছাড়াই মেমোরির তথ্য পড়া বা দূর থেকে কোড চালানো সম্ভব। উইজ দেখিয়েছে, এই পথে পাসওয়ার্ড, টোকেন ও এপিআই কী-র মতো স্পর্শকাতর তথ্যও বেরিয়ে আসতে পারে।

তাই ওয়ার্ডপ্রেস, ড্রুপাল বা জুমলার মতো অ্যাপ নিজের কোডে নির্ভুল হলেও রেহাই নেই। উইজ পিএইচপিকে বলছে ওয়েবের “মেরুদণ্ড”। তাদের হিসাবে এমনকি “হ্যালো ওয়ার্ল্ড” লেখা একটি সাধারণ পাতাও ঝুঁকিতে পড়তে পারে, আর গত এক দশকের প্রতিটি সংস্করণ, 5.4 পর্যন্ত পেছনে, অন্তত একটি দুর্বলতায় আক্রান্ত। সংখ্যাগুলো সাবধানে পড়া দরকার। যেসব সাইটের সার্ভার-ভাষা শনাক্ত করা যায়, তার প্রায় ৭০ শতাংশ পিএইচপি ব্যবহার করে। প্যালো অল্টো নেটওয়ার্কস ইন্টারনেটে খোলা ২২.৬ মিলিয়নের বেশি সম্ভাব্য ঝুঁকিপূর্ণ ইনস্ট্যান্স চিহ্নিত করেছে; সংখ্যাটি আলাদা ওয়েবসাইটের নয়, নিশ্চিত ভাঙারও নয়।

কীভাবে ধরা পড়ল?

পিএইচপি ফাউন্ডেশন জানিয়েছে, ২০২৪ সালে এক বহিঃস্থ অডিটে তাদের নিজেদের ডেভেলপাররা সমস্যার আভাস পেয়েছিলেন। কিন্তু আক্রমণের নির্দিষ্ট পথ না মেলায় এবং মূল দলটি ছোট হওয়ায় কাজ থেমে থেমে এগিয়েছে। ফাউন্ডেশন এই দেরিকে বলেছে “কাঠামোগত ব্যর্থতা”। আগস্টে ওপেনএআইয়ের অর্থে চলা অডিটে জিপিটি-5.6 সল ব্যবহার করে নিরাপত্তা সংস্থা কালিফ একটি কার্যকর আক্রমণের খবর দেয়; দুই সপ্তাহ পর উইজ আরও পথ খুঁজে পায়।

সবচেয়ে চোখে পড়ার মতো সাড়া এসেছে ইউরোপ থেকে। ইউরোনিউজের বিবরণে নেদারল্যান্ডস নামিয়ে নেয় ডিজিড পরিচয়-ব্যবস্থা, ওভারহাইদ সরকারি পোর্টাল ও পার্লামেন্টের নিম্নকক্ষের সাইট। দেশটির জাতীয় সাইবার নিরাপত্তা কেন্দ্র নিজের সাইটও বন্ধ করে। ফিনল্যান্ডের রাষ্ট্রীয় আইটি সেবাদাতা সতর্কতা হিসেবে সরকারি ওয়েব সেবা বন্ধ রাখে, ফ্রান্সের স্বরাষ্ট্র মন্ত্রণালয় স্থানীয় প্রশাসনের সাইটগুলো রক্ষণাবেক্ষণ-মোডে পাঠায়, জার্মানির ফেডারেল আইটি সেবাদাতা বন্ধ করে কয়েকটি পোর্টাল।

যুক্তরাজ্যে এডিনবরা কাউন্সিল ও বিবিসির বেশ কিছু অনুষ্ঠান-পাতা অনলাইনে ছিল না; ডেনমার্কে কমবিটের কয়েকটি সেবা বন্ধ হয়। উইকিপিডিয়ার পরিচালনাকারী উইকিমিডিয়া ফাউন্ডেশন জানিয়েছে, প্যাচ না বসা পর্যন্ত তারা অনির্দিষ্টসংখ্যক সিস্টেম নামিয়ে রেখেছে।

পরামর্শটা পরিষ্কার

হালনাগাদ করুন, না পারলে সাইট বন্ধ রাখুন। এফবিআই ও এনএসএ এ কথাই বলেছে, আর যুক্তরাষ্ট্র, যুক্তরাজ্য, ইইউ, কানাডা, অস্ট্রেলিয়া ও জাপানের সংস্থাগুলো পিএইচপি-চালিত ব্যবস্থা খুঁজে বের করে প্যাচ বসাতে বলেছে। নিরাপত্তা-মহলের একটি পুরোনো ঠাট্টা আছে, সবচেয়ে নিরাপদ সার্ভার বন্ধ সার্ভার। এবার সেটাই হয়ে এল সরকারি নির্দেশ।

প্যাচ এসেছে 8.2.35, 8.3.36, 8.4.27 ও 8.5.12 সংস্করণের জন্য। এর চেয়ে পুরোনো সংস্করণ চালালে সহায়তার জন্য বিক্রেতার কাছে ব্যাকপোর্ট চাইতে হবে, নয়তো সংস্করণ বদলাতে হবে।

কত সাইট সত্যিই ভেঙেছে, তা নিয়ে ছবি ঝাপসা, আর বিবরণগুলো সহজে মেলে না। পিএইচপি ফাউন্ডেশন জানাচ্ছে, ফাঁস হওয়া প্রমাণ-কোড পরীক্ষা করে প্রকাশের সময় তারা কার্যকর কোনো আক্রমণ-সরঞ্জাম পায়নি। সিঙ্গাপুরে জেমস কুক বিশ্ববিদ্যালয়ের সাইবার নিরাপত্তা বিশেষজ্ঞ স্টিভ কেরিসনের ভাষ্যে, গবেষকেরা যে প্রমাণ দেখছিলেন, তাতে কেউ সক্রিয়ভাবে ওইসব কৌশলে হামলা চালাচ্ছিল না। অথচ ক্লাউডফ্লেয়ার একই বুধবার নিজের গ্রাহকদের লক্ষ্য করে হামলার ট্রাফিক দেখার কথা জানিয়েছে।

ঝুঁকি সবচেয়ে বেশি ছোটদের। বড় প্রতিষ্ঠান দ্রুত প্যাচ বসাতে পারে; ব্যক্তিগত ব্লগ বা ছোট ব্যবসার সাইটের মালিকেরা কেরিসনের আশঙ্কায় দিনের পর দিন, এমনকি মাসের পর মাস বিষয়টি জানতেই পারবেন না। আরেক স্তরের ঝুঁকির কথা বলেন নিউ সাউথ ওয়েলস বিশ্ববিদ্যালয়ের রাহাত মাসুদ: নিজের সাইটে প্যাচ বসালেও লাভ সীমিত, যদি আপনার নির্ভর করা তৃতীয় পক্ষের সেবা পিএইচপিতে চলে এবং তারা দেরি করে।

বাংলাদেশের জন্য প্রশ্নটা সহজ

দেশের সরকারি ও বেসরকারি সাইটের কতগুলো পিএইচপিতে চলে, আর কতগুলোতে প্যাচ বসেছে? প্রকাশ্য সূত্রে এর উত্তর আমরা এখনো পাইনি। সাইটের মালিকদের জন্য একটি সাধারণ পরামর্শ আছে: হোস্টিং সেবাদাতার সঙ্গে যোগাযোগ করে জেনে নেওয়া, পিএইচপি হালনাগাদ হয়েছে কি না।

পিএইচপি ফাউন্ডেশন ঘটনাটিকে ব্যবহার করছে একটি অস্বস্তিকর প্রশ্ন তুলতে। তাদের বক্তব্য, সরকারি সেবা, ব্যাংক আর অনলাইন দোকান যে ভাষায় চলে, তার নিরাপত্তা দাঁড়িয়ে আছে ফাউন্ডেশনের অর্থে চলা অল্প কিছু ডেভেলপার ও স্বেচ্ছাসেবীর ওপর। সরঞ্জাম এখন আগের চেয়ে দ্রুত ত্রুটি খোঁজে; কিন্তু ওয়েব না ভেঙে তা সারানোর সিদ্ধান্ত নিতে লাগে অভিজ্ঞ প্রকৌশলী।

এখন তাই সবচেয়ে সরল প্রশ্নটাই সবচেয়ে জরুরি: আপনার সাইটটা চলছে কীসে?