দুটি ত্রুটিতে আন্তর্জাতিক নিরাপত্তা তৎপরতার পর দক্ষিণ কোরিয়ার PHP হালনাগাদের আহ্বান

বহুল ব্যবহৃত ওয়েব সফটওয়্যারের দুটি দুর্বলতা সারাতে জরুরি হালনাগাদ

লগইন পেজ, কেনাকাটার সেবা ও আলোচনা বোর্ড চালাতে ব্যবহৃত সফটওয়্যারে দুটি নিরাপত্তা দুর্বলতা শনাক্ত হওয়ার পর ২০২৬ সালের ২১ অক্টোবর দক্ষিণ কোরিয়ার কোরিয়া ইন্টারনেট অ্যান্ড সিকিউরিটি এজেন্সি (KISA) ওয়েবসাইট পরিচালকদের PHP হালনাগাদের আহ্বান জানায়। প্রতিবেদনে বলা হয়েছে, হামলাকারীরা লগইন না করেই সার্ভারে কোড চালাতে পারে।

KISA দুর্বলতা দুটিকে CVE-2026-109618 হিসেবে চিহ্নিত করেছে, যার সঙ্গে ব্যতিক্রমী পরিস্থিতি যথাযথভাবে সামাল না দেওয়ার বিষয়টি জড়িত; আর CVE-2026-109619-এর ক্ষেত্রে মেমোরি ছেড়ে দেওয়ার পরও তা ব্যবহার করা হয়। তাদের হালনাগাদ-সংক্রান্ত নির্দেশনায় PHP-এর চারটি সংস্করণ-শাখা রয়েছে: 8.2.35, 8.3.36, 8.4.27 এবং 8.5.12।

২১ অক্টোবর রাতে দক্ষিণ কোরিয়ার বিজ্ঞান ও আইসিটি মন্ত্রণালয় এবং KISA জাতীয় সাইবার নিরাপত্তা নেটওয়ার্কের আওতাভুক্ত ব্যবসাপ্রতিষ্ঠান ও সংস্থাগুলোকে নিরাপত্তা-সংক্রান্ত অনুরোধ জানায়। ২২ অক্টোবর সরকারি কর্তৃপক্ষ এ উদ্যোগের কথা জানায়। ছোট ব্যবসাগুলোকে প্যাচ ইনস্টল করতে সহায়তার জন্য জরুরি সহায়তা দেওয়ার বিষয়টি বিবেচনাধীন ছিল।

সমষ্টিগতভাবে PHP2Shell নামে বর্ণিত দুর্বলতাগুলো আন্তর্জাতিক প্রতিক্রিয়ার জন্ম দেয়। সতর্কতামূলক ব্যবস্থা হিসেবে নেদারল্যান্ডস ও ফিনল্যান্ডের কিছু সরকারি প্রতিষ্ঠান ওয়েবসাইট সাময়িকভাবে বন্ধ রেখেছে বলে খবর পাওয়া যায়। ইউরোপ, জাপান ও অস্ট্রেলিয়ার সাইবার নিরাপত্তা কর্তৃপক্ষও হালনাগাদের আহ্বান জানায়। তাৎক্ষণিকভাবে প্যাচ দেওয়া সম্ভব না হলে আক্রান্ত সিস্টেম অফলাইনে নেওয়ার পরামর্শ দেয় যুক্তরাষ্ট্রের সংস্থাগুলোও বলে খবর পাওয়া যায়।

কোন PHP সংস্করণগুলোতে নজর দেওয়া প্রয়োজন?

KISA-এর পরামর্শে আক্রান্ত PHP-এর প্রতিটি শাখার জন্য আলাদা ন্যূনতম সংস্করণ নির্ধারণ করা হয়েছে। একটি শাখা হলো একগুচ্ছ সংস্করণ: উদাহরণস্বরূপ, PHP 8.3 ব্যবহার করা ওয়েবসাইটের জন্য ওই শাখার ত্রুটিমুক্ত সংস্করণে, অথবা উপযুক্ত নতুন কোনো সমর্থিত সংস্করণে হালনাগাদ প্রয়োজন।

• PHP 8.2: 8.2.35-এর আগের সংস্করণ হালনাগাদ করুন।
• PHP 8.3: 8.3.36-এর আগের সংস্করণ হালনাগাদ করুন।
• PHP 8.4: 8.4.27-এর আগের সংস্করণ হালনাগাদ করুন।
• PHP 8.5: 8.5.12-এর আগের সংস্করণ হালনাগাদ করুন।

KISA সতর্ক করে বলেছে, PHP 8.1 ও এর আগের সংস্করণগুলোর জন্য আনুষ্ঠানিক নিরাপত্তা সহায়তা বন্ধ হয়ে গেছে। এসব সংস্করণ ব্যবহারকারীদের এমন সফটওয়্যারে থেকে না গিয়ে সমর্থিত সংস্করণে যাওয়ার পরামর্শ দেওয়া হয়েছে, যার আনুষ্ঠানিক নিরাপত্তা রক্ষণাবেক্ষণ শেষ হয়েছে।

ব্যবসার মালিকদের জন্য বাস্তবিক প্রথম পদক্ষেপ হলো ওয়েবসাইটের সার্ভারে চলমান PHP সংস্করণটি শনাক্ত করা। হোস্টিং কোম্পানি সফটওয়্যারটির ব্যবস্থাপনা করতে পারে, অথবা দায়িত্বটি প্রতিষ্ঠানের নিজস্ব প্রযুক্তি দলের হতে পারে। ল্যাপটপের ব্রাউজার হালনাগাদ করলে সিস্টেমের অন্য একটি অংশ বদলায়।

দুটি ত্রুটির সম্ভাব্য প্রভাব

CVE-2026-109618 ব্যতিক্রমী পরিস্থিতি নিয়ে, অর্থাৎ সফটওয়্যার স্বাভাবিক কাজের বাইরে কোনো পরিস্থিতির মুখোমুখি হলে। প্রোগ্রামকে এসব পরিস্থিতি নিরাপদে সামাল দিতে হয়। তা করতে ব্যর্থ হলে সফটওয়্যার অনভিপ্রেতভাবে কাজ করতে পারে।

CVE-2026-109619-কে মেমোরি ছেড়ে দেওয়ার পরও তা ব্যবহারের দুর্বলতা হিসেবে বর্ণনা করা হয়েছে। সফটওয়্যার সাময়িকভাবে কম্পিউটারের মেমোরির কিছু জায়গা সংরক্ষণ করে এবং কাজ শেষ হলে তা ছেড়ে দেয়। এ ধরনের ত্রুটি ঘটে যখন কোনো প্রোগ্রাম পরে এমন জায়গা ব্যবহার করতে যায়, যা ইতিমধ্যে ছেড়ে দেওয়া হয়েছে। ফলে এমন ডেটা পাওয়া যেতে পারে যা বদলে গেছে বা অন্য কোনো কাজের জন্য বরাদ্দ হয়েছে।

প্রতিবেদনে বলা ঝুঁকিটি হলো, পরিচয় যাচাই ছাড়াই দূর থেকে কোড চালানো সম্ভব হতে পারে। সহজভাবে বললে, ওয়েবসাইটের বাইরে থেকে কেউ বৈধ ব্যবহারকারীর নাম বা পাসওয়ার্ড না দিয়েই সার্ভারকে নির্দেশনা চালাতে বাধ্য করতে পারে। সফল হামলায় তথ্য ফাঁস, ক্ষতিকর সফটওয়্যার ইনস্টল বা সেবা ব্যাহত হতে পারে।

প্রকাশ্যে বর্ণিত ঘোষণাগুলোতে প্রতিটি দুর্বলতার অপব্যবহারের জন্য প্রয়োজনীয় নির্দিষ্ট সার্ভার কনফিগারেশন ও অনুরোধের শর্ত জানানো হয়নি। তাই পরিচালকদের আক্রান্ত সফটওয়্যার সংস্করণ পরীক্ষা করে নিজস্ব ব্যবস্থাপনার জন্য কারিগরি নির্দেশনা নিতে হবে।

WordPress-এর কারণে সাধারণ ব্যবসার কাছেও পৌঁছেছে বিষয়টি

PHP চলে ওয়েবসাইটের সার্ভারে, দর্শনার্থীর ফোন বা কম্পিউটারে নয়। কোনো ক্রেতা অর্ডারের ইতিহাস দেখতে চাইলে PHP প্রোগ্রাম ডেটাবেস থেকে প্রাসঙ্গিক তথ্য এনে ব্রাউজারে পাঠানোর জন্য পেজ তৈরি করতে পারে। লগইন ব্যবস্থা, মন্তব্য ও বার্তা বোর্ডও একইভাবে কাজ করতে পারে।

ওয়েবসাইট তৈরি ও পরিচালনার সরঞ্জাম WordPress-ও PHP-তে চলে। ফলে নিরাপত্তা তৎপরতার সঙ্গে যুক্ত হয়েছে ব্লগ, কোম্পানির ওয়েবসাইট ও অনলাইন দোকান, যেগুলোর মালিকদের অনেকেই অন্তর্নিহিত প্রোগ্রামিং ভাষাটির সঙ্গে সরাসরি খুব কমই যুক্ত হন।

ওয়েব প্রযুক্তি পরিমাপকারী সেবা W3Techs-এর নামে উল্লেখ করা পরিসংখ্যানে বলা হয়েছে, যেসব ওয়েবসাইটের সার্ভার-প্রোগ্রামিং ভাষা শনাক্ত করা যায়, সেগুলোর প্রায় ৭৫ শতাংশে PHP ব্যবহৃত হয়। সব ওয়েবসাইটের প্রায় ৪৩ শতাংশ WordPress-এ চলে। PHP-এর পরিসংখ্যানটি WordPress-এর তুলনায় সীমিত একটি পরিমাপ-গোষ্ঠী নিয়ে: সব ওয়েবসাইট নয়, কেবল যেগুলোর সার্ভার ভাষা শনাক্ত করা যায়।

এই পরিসংখ্যানগুলো প্রতিক্রিয়ার ব্যাপ্তি বুঝিয়ে দেয়। অনেক স্বতন্ত্রভাবে পরিচালিত ওয়েবসাইট একই অন্তর্নিহিত সফটওয়্যারের ওপর নির্ভরশীল। ফলে একটি মেরামত উদ্যোগে একই সময়ে সরকারি প্রতিষ্ঠান, বড় কোম্পানি ও ছোট ব্যবসা যুক্ত হতে পারে।

দুটি নিরাপত্তা চ্যানেলে ব্যবসাপ্রতিষ্ঠানগুলোর কাছে পৌঁছেছে দক্ষিণ কোরিয়া

বিজ্ঞান ও আইসিটি মন্ত্রণালয় এবং KISA ২১ অক্টোবরের অনুরোধ পাঠায় C-TAS-এর সদস্যদের কাছে। এটি সাইবার হুমকির তথ্য বিশ্লেষণ ও আদান-প্রদানের ব্যবস্থা। প্রধান তথ্য নিরাপত্তা কর্মকর্তা বা CISO নিবন্ধনের বাধ্যবাধকতা রয়েছে এমন কোম্পানিগুলোর কাছেও অনুরোধ পাঠানো হয়।

C-TAS-এ প্রায় ৫,৯০০ কোম্পানি ও প্রতিষ্ঠান অংশ নেয়। দক্ষিণ কোরিয়ার তথ্য ও যোগাযোগ নেটওয়ার্ক-সংক্রান্ত আইনে প্রায় ৩০,০০০ কোম্পানিকে CISO নিয়োগ করে মন্ত্রণালয়কে জানাতে হয়। CISO হলেন কোনো প্রতিষ্ঠানের তথ্য নিরাপত্তার দায়িত্বে থাকা জ্যেষ্ঠ কর্মকর্তা।

এই দুটি সংখ্যা আলাদা যোগাযোগ-গোষ্ঠীকে বোঝায়, তবে তাদের মধ্যে কিছু প্রতিষ্ঠানের মিল থাকতে পারে। নিরাপত্তা হালনাগাদ ও প্যাচ ইনস্টল করার পরামর্শ দিতে সরকার KISA-এর জনসাধারণের জন্য উন্মুক্ত সাইবার নিরাপত্তা পোর্টাল, ‘বোहो নারা’ও ব্যবহার করেছে।

ছোট ব্যবসাগুলোর জন্য কর্মীসংক্রান্ত বাস্তব সমস্যা রয়েছে: কিছু প্রতিষ্ঠানে আক্রান্ত সফটওয়্যার শনাক্ত, হালনাগাদের ব্যবস্থা এবং পরে ওয়েবসাইট ঠিকমতো চলছে কি না, তা পরীক্ষা করার মতো কর্মী নেই। মন্ত্রণালয়ের একজন কর্মকর্তা বলেন, সরকার প্রথমে নিরাপত্তা নির্দেশনা বিতরণ করেছে এবং জরুরি প্যাচ-সহায়তার বিষয়টি বিবেচনা করছে। ওই সহায়তা কবে শুরু হবে বা কারা যোগ্য হবে, তা জানানো হয়নি।

যেভাবে এগিয়েছে প্রতিক্রিয়া

প্রতিবেদনে উল্লেখ করা ঘটনাক্রম ২০২৪ সালের একটি বহিঃস্থ নিরাপত্তা নিরীক্ষা থেকে শুরু হয়ে ২০২৬ সালের অক্টোবরে দ্রুতগতিতে ত্রুটি সারানোর সংস্করণ প্রকাশ পর্যন্ত গড়িয়েছে। গুরুত্বপূর্ণ তারিখগুলো হলো:

• ২০২৪: বহিঃস্থ নিরীক্ষায় কিছু ত্রুটির লক্ষণ ধরা পড়েছিল বলে খবর পাওয়া যায়। অভ্যন্তরীণ মতবিরোধ এবং বিদ্যমান সফটওয়্যারের সঙ্গে সামঞ্জস্য নিয়ে উদ্বেগকে তখন প্যাচ তৈরির কাজ এগোয়নি বলে উল্লেখ করা হয়।
• ২১ অক্টোবর, ২০২৬: PHP ডেভেলপাররা দুটি দুর্বলতার সমাধান প্রকাশ করেন বলে খবর পাওয়া যায়, আর KISA হালনাগাদের পরামর্শ দেয়।
• ২১ অক্টোবর রাত: দক্ষিণ কোরিয়ার কর্তৃপক্ষ ব্যবসাপ্রতিষ্ঠান ও সংস্থার চ্যানেলগুলোতে নিরাপত্তা-সংক্রান্ত অনুরোধ পাঠায়।
• ২২ অক্টোবর: দক্ষিণ কোরিয়ার কর্তৃপক্ষ এ উদ্যোগের কথা জানায়। এ দিনটিই ছিল প্যাচ প্রকাশের পূর্বনির্ধারিত তারিখ।

দুর্বলতাগুলোর তথ্য ফাঁস হওয়ার পর প্যাচ প্রকাশের তারিখ এক দিন এগিয়ে আনা হয়েছিল বলে খবর পাওয়া যায়। ত্রুটিমুক্ত সংস্করণ জনসমক্ষে আসার আগেই হামলার চেষ্টাও শনাক্ত হয়েছিল বলে খবর পাওয়া যায়, যা পরিচালকদের দ্রুত পদক্ষেপ নেওয়ার চাপ বাড়ায়।

২০২৪ সালের নিরীক্ষার বিবরণ রক্ষণাবেক্ষণসংক্রান্ত একটি চ্যালেঞ্জের দিকেও ইঙ্গিত করে। শেয়ার করা সফটওয়্যারে পরিবর্তন আনলে সেটির বিদ্যমান আচরণকে ঘিরে তৈরি অ্যাপ্লিকেশন প্রভাবিত হতে পারে। সামঞ্জস্য নিয়ে উদ্বেগ মেরামতের কাজ সমন্বয় করা কঠিন করে তুলতে পারে, বিশেষ করে কোনো ভাষা যখন নানা ধরনের ওয়েবসাইট ও হোস্টিং ব্যবস্থায় ব্যবহৃত হয়।

AI-নির্ভর শনাক্তকরণ ও স্বতন্ত্র নিরাপত্তা গবেষণা

সাইবার নিরাপত্তা কোম্পানি Calif OpenAI-এর GPT-5.6 Sol নামে বর্ণিত একটি মডেল ব্যবহার করে দুর্বলতাগুলো শনাক্ত করেছে বলে খবর পাওয়া যায়। বলা হয়েছে, এক দশকেরও বেশি সময় ধরে ত্রুটিগুলো শনাক্তের বাইরে ছিল।

গুগল-সংশ্লিষ্ট সাইবার নিরাপত্তা কোম্পানি Wiz আলাদাভাবে দুর্বলতা দুটি খুঁজে পায় এবং কর্তৃপক্ষকে জানায় বলে খবর পাওয়া যায়। Wiz-এর সহপ্রতিষ্ঠাতা আমি লুটওয়াক এগুলোকে AI ব্যবহার করে আবিষ্কৃত সবচেয়ে গুরুতর দুর্বলতা বলে বর্ণনা করেন। তিনি বলেন, AI ছাড়া এগুলো শনাক্ত করা অত্যন্ত কঠিন হতো।

OpenAI জানায়, প্রতিক্রিয়ায় সহায়তার জন্য তারা আগের দুই মাস ধরে গবেষক ও সাইবার নিরাপত্তা কোম্পানিগুলোর মধ্যে সমন্বয় করেছে। পরবর্তী কয়েক মাসে AI ব্যবহার করে এ ধরনের আবিষ্কার দ্রুত বাড়বে বলেও তারা পূর্বাভাস দেয়।

ওয়েবসাইট পরিচালকদের তাৎক্ষণিক কাজগুলো স্পষ্ট: ইনস্টল করা সফটওয়্যার শনাক্ত করা, উপযুক্ত সমাধান প্রয়োগ করা এবং সেবা সচল রাখা। AI দিয়ে দুর্বলতা শনাক্তের বিষয়টি এই ঘটনার আরেকটি দিক, যার পাশাপাশি রয়েছে স্বতন্ত্র গবেষণা, ডেভেলপারদের সমন্বয় এবং প্যাচ বিতরণ।

কেন কিছু কর্তৃপক্ষ ওয়েবসাইট অফলাইনে নেওয়ার পরামর্শ দিয়েছে

যুক্তরাষ্ট্রের জাতীয় নিরাপত্তা সংস্থা (NSA) PHP ব্যবহারকারী প্রতিষ্ঠানগুলোকে অবিলম্বে হালনাগাদের আহ্বান জানিয়েছে বলে খবর পাওয়া যায়। সংস্থাটি সতর্ক করেছে, দুর্বলতার অপব্যবহার করে হামলাকারীরা সার্ভারের ফাইল সিস্টেম বা ডেটাবেসে প্রবেশ করতে পারে। তাৎক্ষণিক হালনাগাদ সম্ভব না হলে দুর্বলতাগুলোর সমাধান না হওয়া পর্যন্ত আক্রান্ত সিস্টেম অফলাইনে নেওয়ার পরামর্শ দিয়েছে তারা।

FBI-ও একই ধরনের পরামর্শ দিয়েছে বলে খবর পাওয়া যায়। সংস্থাটি দূর থেকে কোড চালানো এবং সংবেদনশীল তথ্য ও নেটওয়ার্ক উন্মুক্ত হয়ে পড়ার আশঙ্কা সম্পর্কে সতর্ক করেছে। প্রতিরোধমূলক ব্যবস্থা হিসেবে নেদারল্যান্ডস ও ফিনল্যান্ডের কিছু সরকারি প্রতিষ্ঠান ওয়েবসাইট সাময়িকভাবে বন্ধ রেখেছে।

ওয়েবসাইট অফলাইনে নিলে তাৎক্ষণিক ক্ষতি হয়: দর্শনার্থীরা সেখানকার সেবা ব্যবহার করতে পারেন না। দোকানের ক্ষেত্রে বিক্রি ব্যাহত হতে পারে; সরকারি প্রতিষ্ঠানের ক্ষেত্রে তথ্য বা অনলাইন ফর্ম পাওয়া যায় না। মেরামতের অপেক্ষায় ঝুঁকিপূর্ণ সার্ভার উন্মুক্ত রাখা কতটা গুরুতর হতে পারে, এ পরামর্শ তা-ই তুলে ধরে।

Cloudflare জানিয়েছে, হামলার পথগুলোর সঙ্গে মিল রেখে তারা সুরক্ষামূলক ব্যবস্থা হালনাগাদ করছে। তবু ওয়েবসাইট পরিচালকদের PHP-এর ত্রুটিমুক্ত সংস্করণ ইনস্টল করার পরামর্শ দেওয়া হয়েছে, যাতে অন্তর্নিহিত সফটওয়্যার নিরাপত্তা তৎপরতায় চিহ্নিত সংস্করণে উন্নীত হয়।

এখন পরিচালকদের যা করা প্রয়োজন

ওয়েবসাইট পরিচালকদের PHP ইনস্টলেশনের নিয়ন্ত্রণ কার হাতে, তা নির্ধারণ করে সংস্করণটি KISA-এর তালিকাভুক্ত সীমার সঙ্গে মিলিয়ে দেখা উচিত। হোস্টিং সেবাদাতা ব্যবহারকারী প্রতিষ্ঠানের ক্ষেত্রে সার্ভারের সংস্করণ ও হালনাগাদের ব্যবস্থা নিশ্চিত করতে হবে ওই সেবাদাতাকে। নিজস্ব সার্ভার পরিচালনাকারী দলকে সরাসরি পরিবর্তনটি করতে হবে।

WordPress ব্যবহারকারী ব্যবসাপ্রতিষ্ঠানগুলোর নিয়মিত ওয়েবসাইট রক্ষণাবেক্ষণের পাশাপাশি PHP রানটাইমও পরীক্ষা করা উচিত। PHP হলো কনটেন্ট ম্যানেজমেন্ট সিস্টেমের নিচে থাকা আলাদা সফটওয়্যার স্তর। তাই শুধু WordPress-এর সংস্করণ জানা থাকলে ইনস্টলেশনের একটি অংশ সম্পর্কে তথ্য পাওয়া যায় না।

PHP 8.1 বা এর আগের সংস্করণ ব্যবহারকারীদের সমর্থিত সংস্করণে যেতে হবে। আক্রান্ত শাখা ব্যবহারকারীদের সংশ্লিষ্ট ত্রুটিমুক্ত সংস্করণে, অথবা উপযুক্ত নতুন কোনো সমর্থিত সংস্করণে যেতে হবে। হালনাগাদের সময় সেবায় সমস্যা হয়েছে কি না বুঝতে গ্রাহক লগইন, অর্ডারের তথ্য দেখা ও পেমেন্টের মতো জরুরি কাজ পরীক্ষা করা সহায়ক।

মূল বিষয়গুলো

• ২০২৬ সালের ২১ অক্টোবর KISA PHP নিরাপত্তা হালনাগাদের পরামর্শ দেয় এবং CVE-2026-109618 ও CVE-2026-109619 শনাক্ত করে।
• তালিকাভুক্ত হালনাগাদ-সীমা হলো PHP 8.2.35, 8.3.36, 8.4.27 এবং 8.5.12।
• PHP 8.1 ও এর আগের সংস্করণ ব্যবহারকারীদের সমর্থিত সংস্করণে যাওয়ার পরামর্শ দিয়েছে KISA।
• প্রতিবেদনে বলা ঝুঁকির মধ্যে রয়েছে লগইন ছাড়াই দূর থেকে কোড চালানো।
• দক্ষিণ কোরিয়া নিরাপত্তা নেটওয়ার্কের সদস্য ও CISO নিয়োগে বাধ্য কোম্পানিগুলোর সঙ্গে যোগাযোগ করেছে।
• দক্ষিণ কোরিয়ার ছোট ব্যবসাগুলোর জন্য জরুরি প্যাচ-সহায়তার বিষয়টি বিবেচনাধীন ছিল।
• আন্তর্জাতিক কর্তৃপক্ষ হালনাগাদের আহ্বান জানিয়েছে; তাৎক্ষণিকভাবে প্যাচ দেওয়া সম্ভব না হলে কেউ কেউ সাময়িকভাবে সিস্টেম বন্ধ রাখার পরামর্শ দিয়েছে।