ডেস্কটপ ব্যবহারকারীদের ক্রোমের নিরাপত্তা হালনাগাদ ইনস্টল করার আহ্বান
ভারতের কম্পিউটার ইমার্জেন্সি রেসপন্স টিম (CERT-In) ২০২৬ সালের ১৪ অক্টোবর গুগল ক্রোমের কিছু দুর্বলতা নিয়ে সতর্কতা জারি করে। এসব দুর্বলতা কাজে লাগিয়ে আক্রমণকারীরা ক্ষতিকর কোড চালাতে, সংবেদনশীল তথ্য পেতে বা আক্রান্ত কম্পিউটারের স্বাভাবিক কার্যক্রম ব্যাহত করতে পারে। এর আগের দিন গুগল সাতটি গুরুতর হিসেবে চিহ্নিত দুর্বলতাসহ ৩৭টি নিরাপত্তা ত্রুটির সমাধান প্রকাশ করে।
সূচিপত্র
- ডেস্কটপ ব্যবহারকারীদের ক্রোমের নিরাপত্তা হালনাগাদ ইনস্টল করার আহ্বান
- কোন সংস্করণগুলো হালনাগাদ করতে হবে?
- সাতটি গুরুতর ত্রুটি ব্রাউজারের মৌলিক কাজে প্রভাব ফেলে
- আক্রান্ত কম্পিউটারে কী ঘটতে পারে?
- পাসওয়ার্ড, জাভাস্ক্রিপ্ট ও নথিও আক্রান্ত
- দুর্বলতাগুলোর তথ্য কারা জানিয়েছেন?
- কিছু কারিগরি তথ্য কেন এখনো সীমিত রাখা হয়েছে
- গবেষণা প্রতিবেদন থেকে জনসতর্কতা
- হালনাগাদ সম্পন্ন করার নিয়ম
- এজ ব্যবহারকারীদেরও হালনাগাদের খোঁজ রাখতে হবে
- মূল বিষয়গুলো
লিনাক্সে 155.0.8059.79-এর আগের এবং উইন্ডোজ ও ম্যাকওএসে 155.0.8059.79/.80-এর আগের ক্রোম সংস্করণগুলো আক্রান্ত। ব্যবহারকারীদের ক্রোমের About পেজ খুলে হালনাগাদ আছে কি না দেখতে হবে এবং ইনস্টলেশন শেষ করতে অনুরোধ এলে ব্রাউজারটি পুনরায় চালু করতে হবে।
১৩ অক্টোবর প্রকাশিত গুগলের ডেস্কটপ সংস্করণ প্রকাশের ঘোষণাতে সাতটি গুরুতর, ২৯টি উচ্চ এবং একটি মাঝারি মাত্রার দুর্বলতার কথা বলা হয়েছে। গ্রাফিকস, নথি, নেটওয়ার্ক, পাসওয়ার্ড এবং ওয়েবসাইটের নির্দেশনা চালানোর সফটওয়্যারসহ বিভিন্ন ক্ষেত্রে এসব দুর্বলতা রয়েছে।
গুগল জানিয়েছে, হালনাগাদটি সবার কাছে পৌঁছাতে কয়েক দিন থেকে কয়েক সপ্তাহ লাগতে পারে। তাই এখনই খোঁজ করেও হালনাগাদ না পেলে, আরও কম্পিউটারে এটি পৌঁছানোর পর আবার পরীক্ষা করতে হতে পারে।
কোন সংস্করণগুলো হালনাগাদ করতে হবে?
CERT-In-এর সতর্কতা উইন্ডোজ, ম্যাকওএস ও লিনাক্সে চালিত ডেস্কটপ ক্রোমের ক্ষেত্রে প্রযোজ্য। হংকংয়ের কম্পিউটার ইমার্জেন্সি রেসপন্স টিম কোঅর্ডিনেশন সেন্টার (HKCERT) একই আক্রান্ত সংস্করণগুলোর কথা জানিয়েছে এবং সরবরাহকারীর দেওয়া সমাধান ইনস্টল করার পরামর্শ দিয়েছে।
- লিনাক্স: Chrome 155.0.8059.79 বা পরবর্তী সংস্করণ ইনস্টল করুন।
- উইন্ডোজ: Chrome 155.0.8059.79/.80 বা পরবর্তী সংস্করণ ইনস্টল করুন।
- ম্যাকওএস: Chrome 155.0.8059.79/.80 বা পরবর্তী সংস্করণ ইনস্টল করুন।
সংস্করণ নম্বরটি গুরুত্বপূর্ণ, কারণ ব্রাউজারের হালনাগাদের মাধ্যমেই সমাধানগুলো সরবরাহ করা হয়। এসব দুর্বলতা থাকা সংস্করণ চালিয়েও কম্পিউটারে ওয়েবসাইট খোলা যেতে পারে। পরিবারের ক্ষেত্রে এখন প্রতিটি কম্পিউটার পরীক্ষা করা জরুরি। প্রতিষ্ঠানের ক্ষেত্রে কোন কোন যন্ত্রে হালনাগাদ পৌঁছেছে এবং প্রয়োজনীয় পুনরায় চালু করার কাজ সম্পন্ন হয়েছে, তা নিশ্চিত করতে হবে।
ব্রাউজারের ওপরের ডান পাশে তিন ডটের মেনু খুলে Help, এরপর About Google Chrome-এ গেলে ক্রোমের সংস্করণ দেখা যায়। হালনাগাদ আছে কি না, এই পেজ থেকেই সেটিও পরীক্ষা করা যায়।
সাতটি গুরুতর ত্রুটি ব্রাউজারের মৌলিক কাজে প্রভাব ফেলে
গুগলের তথ্যে, CVE-2026-110152 হলো ANGLE-এর একটি গুরুতর বাফার ওভারফ্লো ত্রুটি। ANGLE ক্রোমে ব্যবহৃত একটি গ্রাফিকস উপাদান। বাফার হলো তথ্য ধরে রাখার জন্য নির্দিষ্ট করে রাখা মেমরির জায়গা। সফটওয়্যার যখন ওই জায়গার সীমানা ছাড়িয়ে তথ্য লেখে, তখন ওভারফ্লো ঘটে। এতে আশপাশের তথ্য নষ্ট হতে পারে বা আক্রমণকারী প্রোগ্রামটি কীভাবে কাজ করে তাতে হস্তক্ষেপের সুযোগ পেতে পারে।
গুগলের প্রকাশনা বিজ্ঞপ্তি অনুযায়ী, depthfirst-এর Zhenpeng (Leo) Lin ৩০ সেপ্টেম্বর ANGLE-এর দুর্বলতার কথা জানান। এর সম্ভাব্য পরিণতির মধ্যে রয়েছে ক্র্যাশ এবং ক্ষতিকর কোড চালানো।
অন্য ছয়টি গুরুতর দুর্বলতাই হলো ‘ইউজ আফটার ফ্রি’ ত্রুটি। এগুলো Browser, PDF, Network, Core, SVG ও Media উপাদানকে প্রভাবিত করে। এসব উপাদান নথি ও গ্রাফিকস সামলানো থেকে শুরু করে নেটওয়ার্কে যোগাযোগ পর্যন্ত নানা কাজে ব্যবহৃত হয়।
সফটওয়্যার মেমরির কোনো অংশ ছেড়ে দেওয়ার পরও সেটি ব্যবহার করতে থাকলে ‘ইউজ আফটার ফ্রি’ ত্রুটি ঘটে। ধরুন, কোনো প্রোগ্রাম পুরোনো একটি মেমরি অবস্থানের তথ্যকে নিজের বলে ধরে ব্যবহার করছে, যদিও ওই জায়গায় এরই মধ্যে অন্য কিছু থাকতে পারে। আক্রমণকারী নতুন তথ্যের ওপর প্রভাব বিস্তার করে প্রোগ্রামটিকে ব্যাহত করতে বা অন্যদিকে চালিত করতে পারে।
গুগল ছয়টি গুরুতর ত্রুটির শনাক্তকারী নম্বর হিসেবে CVE-2026-110149, CVE-2026-110136, CVE-2026-110161, CVE-2026-110165, CVE-2026-110148 এবং CVE-2026-110151 উল্লেখ করেছে। ANGLE-এর ত্রুটিসহ এগুলো ৩৭টি সমাধানের মধ্যে সাতটি, অর্থাৎ প্রতি পাঁচটির প্রায় একটি।
আক্রান্ত কম্পিউটারে কী ঘটতে পারে?
CERT-In সতর্ক করেছে, এসব দুর্বলতা কাজে লাগালে আক্রমণকারীরা ইচ্ছামতো কোড চালাতে, সংবেদনশীল তথ্য ফাঁস করতে বা সেবা অচল করে দিতে পারে। সহজ ভাষায়, এর অর্থ হলো আক্রমণকারীর বেছে দেওয়া নির্দেশনা চালানো, ব্যক্তিগত তথ্য প্রকাশ পাওয়া বা সফটওয়্যারের স্বাভাবিক কাজ বন্ধ হয়ে যাওয়া।
১৪ অক্টোবর প্রকাশিত HKCERT-এর ক্রোম নিরাপত্তা বুলেটিনে আরও দুটি সম্ভাব্য প্রভাবের কথা আছে: অধিকতর অনুমতি পাওয়া এবং নিরাপত্তা বিধিনিষেধ এড়িয়ে যাওয়া। প্রথমটির অর্থ সাধারণত অনুমোদিত সীমার বাইরে গিয়ে অনুমতি পাওয়া; দ্বিতীয়টির অর্থ কোনো সুরক্ষামূলক নিয়ম পাশ কাটানো।
HKCERT বুলেটিনটিকে মাঝারি ঝুঁকির বলে চিহ্নিত করেছে, অন্যদিকে গুগল পৃথক সাতটি ত্রুটিকে গুরুতর বলেছে। দুই সংস্থার মূল্যায়নের পরিধি আলাদা: HKCERT পুরো বুলেটিনের জন্য একটি ঝুঁকির মাত্রা দিয়েছে, আর গুগল প্রতিটি দুর্বলতাকে আলাদাভাবে চিহ্নিত করেছে। HKCERT-এর পরামর্শ হলো সমাধানগুলো ইনস্টল করা।
HKCERT-এর বুলেটিনে CVE-2026-110136 থেকে CVE-2026-110172 পর্যন্ত নম্বর রয়েছে, যা মোট ৩৭টি শনাক্তকারী নম্বরের সবকটিই অন্তর্ভুক্ত করে। CVE নম্বর হলো রেফারেন্স শনাক্তকারী, যা সফটওয়্যার নির্মাতা ও প্রশাসকদের বিভিন্ন বিজ্ঞপ্তি এবং হালনাগাদে একই নিরাপত্তা সমস্যাকে শনাক্ত করতে সাহায্য করে।
পাসওয়ার্ড, জাভাস্ক্রিপ্ট ও নথিও আক্রান্ত
গুগলের উচ্চ মাত্রার ২৯টি সমাধানের মধ্যে রয়েছে ক্রোমের জাভাস্ক্রিপ্ট ইঞ্জিন V8-এর সমস্যা। অনেক ওয়েবসাইটকে ইন্টার্যাকটিভ করে তুলতে জাভাস্ক্রিপ্ট নির্দেশনা ব্যবহৃত হয়। ব্রাউজার এসব নির্দেশনা প্রক্রিয়াকরণের সময় ইঞ্জিনের দুর্বলতা কাজে লাগতে পারে।
V8-এর সমস্যাগুলোর মধ্যে রয়েছে টাইপ কনফিউশন ত্রুটি CVE-2026-110140 এবং দুটি ‘ইউজ আফটার ফ্রি’ ত্রুটি CVE-2026-110168 ও CVE-2026-110169। টাইপ কনফিউশন ঘটে যখন সফটওয়্যার কোনো তথ্যকে ভুল ধরনের তথ্য হিসেবে বিবেচনা করে; এতে মেমরির অনিরাপদ ব্যবহার হতে পারে।
ক্রোমের Passwords উপাদানে উচ্চ মাত্রার তিনটি সমস্যা রয়েছে: তথ্য ফাঁসের একটি ত্রুটি এবং দুটি ‘ইউজ আফটার ফ্রি’ ত্রুটি। অন্যান্য সমাধান Extensions, WebRTC, DOM, Canvas ও PDFium-সংক্রান্ত। এসব উপাদান যথাক্রমে অ্যাড-অন, ব্রাউজারের যোগাযোগ, ওয়েবপেজের কাঠামো, ছবি আঁকা এবং PDF প্রক্রিয়াকরণে সহায়তা করে।
ReadingMode, Installer, Updater ও Mojo-তে অনুমতি-সংক্রান্ত দুর্বলতার কথাও জানিয়েছে গুগল। যেমন, অনুমোদন-সংক্রান্ত ত্রুটির ক্ষেত্রে কোনো কাজ অনুমোদিত কি না, তা প্রোগ্রাম সঠিকভাবে যাচাই করছে কি না—সেই প্রশ্ন থাকে। মাঝারি মাত্রার একমাত্র ত্রুটিটি FileSystem-এর ‘ইউজ আফটার ফ্রি’ দুর্বলতা, যার শনাক্তকারী নম্বর CVE-2026-110142।
তালিকাটির ব্যাপ্তি থেকেই বোঝা যায়, একক কোনো ধরনের ব্রাউজিংয়ের বাইরেও হালনাগাদটি গুরুত্বপূর্ণ। ক্রোমে লেখা, স্ক্রিপ্ট, গ্রাফিকস, নথি ও নেটওয়ার্কের তথ্য প্রক্রিয়াকরণ করা হয়; এই প্রকাশনায় এসব কাজের বিভিন্ন ধাপের দুর্বলতা ঠিক করা হয়েছে।
দুর্বলতাগুলোর তথ্য কারা জানিয়েছেন?
গুগলের স্বীকৃতিদান তালিকা অনুযায়ী, Anthropic-এর Xinyang Ge Claude-এর সহায়তায় ২৮ সেপ্টেম্বর উচ্চ মাত্রার V8 দুর্বলতা CVE-2026-110169-এর কথা জানান। বিজ্ঞপ্তিতে গবেষক, প্রতিষ্ঠান ও সহায়তার কথা উল্লেখ করা হয়েছে, তবে Claude-এর ভূমিকা সম্পর্কে বিস্তারিত জানানো হয়নি।
PDF, SVG ও Media-তে গুরুতর দুর্বলতাসহ আরও কয়েকটি ত্রুটির তথ্য জানানোর জন্যও গুগল Xinyang Ge-কে কৃতিত্ব দিয়েছে। Browser, Network ও Core-এর গুরুতর ত্রুটিগুলো গুগল নিজেই শনাক্ত করেছে। নাম উল্লেখ করা অন্য অবদানকারীদের মধ্যে রয়েছেন Hoyong Jin, M. Fauzan Wijaya, Aria Akhavan, Souma Ohsawa ও Andrew Boni।
তথ্য প্রকাশের তারিখগুলো দেখায়, কয়েক মাস ধরে পাওয়া বিভিন্ন দুর্বলতার তথ্য একত্র করে এই হালনাগাদ প্রকাশ করা হয়েছে। গুগলের তালিকায় ২৫ মার্চ জানানো Bindings-এর একটি দুর্বলতা যেমন আছে, তেমনি ৬ অক্টোবর জানানো Media-র সাম্প্রতিক দুর্বলতাও রয়েছে। স্থিতিশীল সংস্করণের এই প্রকাশনায় সেগুলোর সমাধান করা হচ্ছে।
কিছু কারিগরি তথ্য কেন এখনো সীমিত রাখা হয়েছে
গুগল জানিয়েছে, ব্যবহারকারীরা হালনাগাদ পাওয়ার সময় পর্যন্ত কিছু ত্রুটির নথিতে প্রবেশাধিকার সীমিত থাকতে পারে। গুগল ক্রোমের প্রকাশনা ঘোষণাটি প্রকাশকারী Srinivas Sista কোম্পানির তথ্য প্রকাশ নীতি ব্যাখ্যা করেছেন:
অধিকাংশ ব্যবহারকারী সমাধানসহ হালনাগাদ না পাওয়া পর্যন্ত ত্রুটির বিস্তারিত তথ্য ও লিংকে প্রবেশাধিকার সীমিত রাখা হতে পারে।
গুগল আরও জানিয়েছে, কোনো দুর্বলতা অন্য প্রকল্পে ব্যবহৃত এমন কোনো লাইব্রেরিকে প্রভাবিত করলে—যার সমাধান এখনো করা হয়নি—তখনও প্রবেশাধিকার সীমিত থাকতে পারে। লাইব্রেরি হলো পুনর্ব্যবহারযোগ্য সফটওয়্যার, তাই একই মূল ত্রুটি ঠিক করতে একাধিক উন্নয়ন দলের কাজ প্রয়োজন হতে পারে।
প্রকাশনা বিজ্ঞপ্তিতে আক্রান্ত উপাদান ও ত্রুটির ধরন জানানো হয়েছে, তবে আরও বিস্তারিত কারিগরি নথির কিছু অংশে প্রবেশাধিকার সীমিত। ব্যবহারকারীদের জন্য সবচেয়ে জরুরি তথ্য হলো কোন সংস্করণে সমাধানগুলো রয়েছে। প্রশাসকেরা ত্রুটির তালিকা ও সফটওয়্যারের হিসাবের সঙ্গে এই প্রকাশনা মেলাতে শনাক্তকারী নম্বরগুলো ব্যবহার করতে পারেন।
গবেষণা প্রতিবেদন থেকে জনসতর্কতা
বিভিন্ন দুর্বলতার তথ্য জানানো থেকে শুরু করে ব্রাউজার হালনাগাদ এবং এরপর জনসতর্কতা জারির ধারাবাহিকতা গুরুত্বপূর্ণ তারিখগুলোতে দেখা যায়:
- ২৮ সেপ্টেম্বর, ২০২৬: Anthropic-এর Xinyang Ge Claude-এর সহায়তায় V8-এর CVE-2026-110169 দুর্বলতার কথা জানান।
- ৩০ সেপ্টেম্বর: depthfirst-এর Zhenpeng (Leo) Lin ANGLE-এর গুরুতর বাফার ওভারফ্লো ত্রুটির কথা জানান।
- ১ থেকে ৬ অক্টোবর: গুগল ও অন্যান্য গবেষক প্রকাশনায় অন্তর্ভুক্ত আরও কয়েকটি গুরুতর ও উচ্চ মাত্রার দুর্বলতার কথা জানান।
- ১৩ অক্টোবর: ৩৭টি নিরাপত্তা সমাধানসহ স্থিতিশীল ক্রোম হালনাগাদের ঘোষণা দেয় গুগল।
- ১৪ অক্টোবর: CERT-In সতর্কতা জারি করে এবং একই ৩৭টি শনাক্তকারী নম্বর নিয়ে বুলেটিন প্রকাশ করে HKCERT।
গুগলের প্রকাশের তারিখ থেকেই হালনাগাদ বিতরণ শুরু হয়। বিতরণে কয়েক দিন বা কয়েক সপ্তাহ লাগতে পারে বলে জানিয়েছে প্রতিষ্ঠানটি। তাই ঘোষণার দিন কোনো কম্পিউটারে হালনাগাদ না দেখালে পরে আবার পরীক্ষা করা উচিত।
হালনাগাদ সম্পন্ন করার নিয়ম
ব্রাউজারের বিল্ট-ইন হালনাগাদ পর্দা থেকেই ক্রোম ব্যবহারকারীরা প্রক্রিয়া শুরু করতে পারেন। ধাপগুলো হলো:
- ক্রোম খুলে ওপরের ডান পাশের তিন ডটের মেনু নির্বাচন করুন।
- Help, এরপর About Google Chrome নির্বাচন করুন।
- হালনাগাদ আছে কি না, তা পরীক্ষা ও ডাউনলোড করতে ক্রোমকে সময় দিন।
- কাজ বাকি থাকলে তা সংরক্ষণ করুন এবং অনুরোধ এলে Relaunch নির্বাচন করুন।
- ইনস্টল করা সংস্করণ দেখতে About পেজে ফিরে যান।
ব্রাউজার পুনরায় চালু করা জরুরি, কারণ হালনাগাদ ডাউনলোড করা এবং হালনাগাদ করা ব্রাউজার চালানো দুটি আলাদা ধাপ। পুরোনো ব্রাউজার সেশন খোলা থাকলে ইনস্টলেশন সম্পন্ন হতে দেরি হতে পারে।
প্রতিষ্ঠানগুলোকে তাদের ডেস্কটপ কম্পিউটারগুলোর ইনস্টল করা সংস্করণ পরীক্ষা করা উচিত; যেসব যন্ত্রে ব্যবহারকারীরা খুব কমই ব্রাউজার বন্ধ করেন, সেগুলোও এর অন্তর্ভুক্ত। লক্ষ্য হলো নিশ্চিত হওয়া যে যন্ত্রগুলোতে সমাধানসহ সংস্করণ চলছে এবং প্রয়োজনীয় পুনরায় চালু করার কাজ সম্পন্ন হয়েছে।
এখনো হালনাগাদ না দেখালে গুগলের বিতরণ চলাকালে আবার পরীক্ষা করুন। আনুষ্ঠানিক প্রকাশনা বিজ্ঞপ্তিতে বিতরণের জন্য কয়েক দিন থেকে কয়েক সপ্তাহ সময়ের কথা বলা হয়েছে। অর্থাৎ ঘোষণার দিনই প্রতিটি কম্পিউটারে হালনাগাদ পৌঁছাবে, এমনটা ধরে নেওয়া যাবে না।
এজ ব্যবহারকারীদেরও হালনাগাদের খোঁজ রাখতে হবে
মাইক্রোসফট এজে Chromium ব্যবহার করা হয়, যে ব্রাউজার প্ল্যাটফর্ম ক্রোমেরও ভিত্তি। তাই এই দুই ব্রাউজারের অভিন্ন সফটওয়্যারের কিছু দুর্বলতা ঠিক করতে এজের জন্যও হালনাগাদ প্রয়োজন হতে পারে।
১৩ অক্টোবরের একটি পরামর্শ বিজ্ঞপ্তিতে মাইক্রোসফট Chromium-এর সর্বশেষ নিরাপত্তা সমাধানগুলোর বিষয়টি স্বীকার করে জানায়, তারা একটি হালনাগাদ নিয়ে কাজ করছে। সতর্কতা জারির সময় সংশ্লিষ্ট স্থিতিশীল সংস্করণের নিরাপত্তা হালনাগাদ প্রকাশ করা হয়নি এবং মাইক্রোসফট প্রকাশের কোনো তারিখও জানায়নি।
মাইক্রোসফটের হালনাগাদ পাওয়া গেলে এজ ব্যবহারকারীদের তা পরীক্ষা করা উচিত। যারা দুই ব্রাউজারই ব্যবহার করেন, তাঁদের প্রতিটি আলাদাভাবে পরীক্ষা করতে হবে: ক্রোমের নিরাপত্তা হালনাগাদ গুগল এবং এজের হালনাগাদ মাইক্রোসফটের মাধ্যমে আসে।
মূল বিষয়গুলো
- ২০২৬ সালের ১৪ অক্টোবর CERT-In ডেস্কটপ ক্রোম ব্যবহারকারীদের এমন কিছু দুর্বলতা নিয়ে সতর্ক করে, যেগুলোর মাধ্যমে তথ্য ফাঁস, সফটওয়্যারের কার্যক্রম ব্যাহত বা ক্ষতিকর কোড চালানো সম্ভব হতে পারে।
- ১৩ অক্টোবরের প্রকাশনায় গুগল সাতটি গুরুতর, ২৯টি উচ্চ এবং একটি মাঝারি মাত্রার দুর্বলতাসহ মোট ৩৭টি ত্রুটি ঠিক করেছে।
- সমাধানযুক্ত সংস্করণ লিনাক্সের জন্য 155.0.8059.79 এবং উইন্ডোজ ও ম্যাকওএসের জন্য 155.0.8059.79/.80, অথবা পরবর্তী সংস্করণ।
- ব্যবহারকারীদের Help, এরপর About Google Chrome-এ গিয়ে হালনাগাদ ইনস্টল করতে হবে এবং অনুরোধ এলে ব্রাউজার পুনরায় চালু করতে হবে।
- গুগল জানিয়েছে, হালনাগাদ বিতরণে কয়েক দিন থেকে কয়েক সপ্তাহ লাগতে পারে। এজের সংশ্লিষ্ট স্থিতিশীল হালনাগাদের তারিখ মাইক্রোসফট তখনো ঘোষণা করেনি।
