জাপানে পিএইচপি নিরাপত্তাজনিত বন্ধের সংখ্যা ১,০৯০, সেবা পুনরায় চালু করতে হিমশিম খাচ্ছে প্রতিষ্ঠানগুলো

শত শত সেবা এখনো চালু হওয়ার অপেক্ষায়

পিএইচপির নিরাপত্তার দুটি গুরুতর ত্রুটির বিষয়ে জাপানের পদক্ষেপে অন্তত ১,০৯০টি ওয়েবসাইট ও অনলাইন সেবা ব্যাহত হয়েছে। ২০২৬ সালের ২৬ অক্টোবর পর্যন্ত শত শত সেবা আবার চালু হয়েছে বলে কোনো ঘোষণা আসেনি। অপারেটররা ত্রুটি সংশোধনের ব্যবস্থা নিচ্ছেন এবং সিস্টেমগুলো নিরাপদে আবার সংযুক্ত করা যাবে কি না, তা যাচাই করছেন। এর মধ্যে অনলাইন কেনাকাটা, আর্থিক অ্যাকাউন্টের কার্যক্রম, শিশুযত্ন সেবা ও গেম রয়েছে।

ক্লাউড সেবার নিরাপত্তা মূল্যায়নসংক্রান্ত তথ্য সরবরাহকারী টোকিওভিত্তিক প্রতিষ্ঠান অ্যাসিউরডের হিসাব অনুযায়ী, ২৬ অক্টোবর বিকেল ৩টা পর্যন্ত ১,০৯০টি সেবা স্থগিত ছিল। তাদের বিশ্লেষণ মূলত এক্সে থাকা আনুষ্ঠানিক অ্যাকাউন্টগুলোর সেবা বন্ধের ঘোষণা থেকে নেওয়া। ২৩ অক্টোবর দুপুর ২টার ৫০২টির তুলনায় এ সংখ্যা ৫৮৮ বেড়েছে, অর্থাৎ প্রায় তিন দিনে প্রায় ১১৭ শতাংশ বৃদ্ধি পেয়েছে।

এসব সেবার মধ্যে ৪৬৫টির আবার চালু হওয়ার ঘোষণা অ্যাসিউরড নিশ্চিত করতে পারেনি। নথিভুক্ত স্থগিত সেবার প্রায় ৪৩ শতাংশ এটি। হিসাবটি প্রকাশ্য ঘোষণার ওপর ভিত্তি করে করা হয়েছে, তাই ওই ৪৬৫টি সেবার সর্বশেষ অবস্থা জানতে এখনো তাদের অপারেটরদের কাছ থেকে নিশ্চিত হওয়া দরকার।

বান্দাই নামকো হোল্ডিংস জানিয়েছে, খেলনা ও অন্যান্য পণ্য বিক্রির তাদের অনলাইন স্টোরটি ২৭ অক্টোবর দুপুরে আবার চালু হওয়ার কথা। ২১ অক্টোবর সন্ধ্যায় রক্ষণাবেক্ষণের জন্য সেটি বন্ধ করা হয়েছিল। তাইকো নো তাতসুজিনসহ আর্কেড গেমগুলোর অনলাইন সংযোগ তখনো স্থগিত ছিল। দাইওয়া সিকিউরিটিজে ওয়েবসাইটের কিছু কার্যক্রম চালু হলেও ২৬ অক্টোবর বিকেল ৫টা পর্যন্ত এনআইএসএ বিনিয়োগ অ্যাকাউন্ট খোলার আবেদন এবং ঠিকানা পরিবর্তনের মতো কাজ বন্ধ ছিল।

পিএইচপি২শেল ত্রুটি কী করতে পারে

জাপানের তথ্যপ্রযুক্তি উন্নয়ন সংস্থা, সংক্ষেপে আইপিএ, ২২ অক্টোবরের পিএইচপি নিরাপত্তা সতর্কতায় দুর্বলতাগুলোকে CVE-2026-109618 এবং CVE-2026-109619 হিসেবে চিহ্নিত করেছে। এ দুটির সম্মিলিত দুর্বলতাকে পিএইচপি২শেল বলা হয়। পিএইচপি এমন সফটওয়্যার, যা বহু ওয়েবসাইট ও ওয়েব অ্যাপ্লিকেশন চালাতে ব্যবহৃত হয়। ব্যবহারকারীর ব্রাউজারে তথ্য পৌঁছানোর আগে এটি সার্ভারে বিভিন্ন কাজ সম্পন্ন করে।

স্মৃতি (মেমোরি) ফুরিয়ে গেলে পিএইচপি কীভাবে ত্রুটি সামলায়, তা নিয়ে CVE-2026-109618 দুর্বলতাটি। আর CVE-2026-109619 সার্ভারে পাঠানো অনুরোধ প্রক্রিয়াকরণের সঙ্গে সম্পর্কিত। এই দুর্বলতাগুলো কাজে লাগিয়ে দূর থেকে কোনো আক্রমণকারী ইচ্ছামতো কোড চালাতে পারে; অর্থাৎ ওয়েবসাইট অপারেটরের বদলে আক্রমণকারী নিজের বেছে নেওয়া নির্দেশনা কার্যকর করতে পারে।

জাপানের কম্পিউটার নিরাপত্তা ঘটনা সমন্বয়কারী সংস্থা জেপিসার্ট/সিসি জানিয়েছে, কোডটি পিএইচপি প্রসেসের অনুমতি নিয়ে চলতে পারে। সহজভাবে বললে, ওয়েবসাইট চালানো সফটওয়্যারকে যেসব কাজ করার অনুমতি দেওয়া হয়েছে, আক্রমণকারীও সেগুলো করার ক্ষমতা পেতে পারে। আক্রান্ত সিস্টেমের অনুমতি ও কনফিগারেশনের ওপর এর পরিধি নির্ভর করবে।

আইপিএ বলেছে, প্রতিষ্ঠানগুলোকে ব্যবহৃত পণ্যের নির্মাতা বা সরবরাহকারীর তথ্য যাচাই করতে হবে, কারণ পিএইচপি বৃহত্তর কোনো অ্যাপ্লিকেশন বা সেবার অংশ হতে পারে। পণ্য বা লিনাক্স ডিস্ট্রিবিউশনের সঙ্গে সরবরাহ করা পিএইচপিও আক্রান্ত হতে পারে বলে সতর্ক করেছে জেপিসার্ট/সিসি। তাই প্রতিক্রিয়া জানাতে সরবরাহকারীর নির্দেশনাও গুরুত্বপূর্ণ।

কীভাবে ছড়াল সেবা বন্ধের ঘটনা

২১ অক্টোবর সেবা অপারেটররা সিস্টেম অফলাইনে নিতে শুরু করেন। তখনো নিরাপত্তা হালনাগাদ প্রকাশিত হয়নি; জাপান সময় রাত প্রায় ১১টার দিকে তা প্রকাশ করা হয়। দুর্বলতা সম্পর্কে জনসমক্ষে বিস্তারিত তথ্য প্রকাশিত হলে হামলার ঝুঁকি বাড়তে পারে—এ কথা বিবেচনা করে কেউ কেউ হালনাগাদ আসার আগেই ব্যবস্থা নেন।

জরুরি সফটওয়্যার হালনাগাদ কীভাবে কয়েক দিনের সেবা বিঘ্নে রূপ নিল, ঘটনাক্রমে তা স্পষ্ট:

• ২১ অক্টোবর: বেইস, কোডমন, পিক্সিভ, ডিএমএম ডটকম, নিকোনিকো এবং সাকুরা ইন্টারনেটের কিছু সেবায় রক্ষণাবেক্ষণ শুরু হয় বা কিছু কার্যক্রম স্থগিত করা হয়। গ্র্যানব্লু ফ্যান্টাসি ও উমা মুসুমে প্রিটি ডার্বিসহ কয়েকটি গেমও সাময়িকভাবে বন্ধ হয়।
• ২১ অক্টোবর, রাত ৯টা ৫৫ মিনিট: প্রধানমন্ত্রী সানায়ে তাকাইচি প্যাচ প্রয়োগে জরুরি প্রস্তুতি নেওয়ার আহ্বান জানান। তাৎক্ষণিকভাবে প্যাচ ইনস্টল করা কঠিন হলে ওয়েবসাইট সাময়িকভাবে বন্ধ রাখার বিকল্পও তিনি উল্লেখ করেন।
• ২১ অক্টোবর, রাত প্রায় ১১টা: পিএইচপির নিরাপত্তা হালনাগাদ প্রকাশিত হয়।
• ২২ অক্টোবর: আইপিএ ও জেপিসার্ট/সিসি দুর্বলতা এবং করণীয় ব্যাখ্যা করে সতর্কতা প্রকাশ করে।
• ২৩ অক্টোবর: অ্যাসিউরডের হিসাবে স্থগিত সেবার সংখ্যা ৫০২-এ পৌঁছায়। পিএইচপির নির্মাতারা CVE-2026-115560 নামের আরেকটি দুর্বলতার কথাও জানান।
• ২৬ অক্টোবর: অ্যাসিউরডের হিসাবে মোট সংখ্যা বেড়ে ১,০৯০ হয়। আক্রমণের চেষ্টা-সংক্রান্ত প্রতিবেদন পাওয়ার পর জেপিসার্ট/সিসি সতর্কতা হালনাগাদ করে।
• ২৭ অক্টোবর, দুপুর: খেলনা ও অন্যান্য পণ্য বিক্রির অনলাইন স্টোরটি আবার চালুর আশা করছে বান্দাই নামকো।

ওয়েবসাইট অফলাইনে নেওয়া কেন বিকল্প হলো

জাপানের জাতীয় সাইবার নিরাপত্তা দপ্তর বলেছে, অপারেটররা দ্রুত প্যাচ ইনস্টল করতে না পারলে ওয়েবসাইট সাময়িকভাবে বন্ধ রাখলে ঝুঁকি কমতে পারে। ২১ অক্টোবরের আহ্বানে তাকাইচিও এই বিকল্পের কথা পুনরায় বলেন। সিইআরটি-ইইউ এবং যুক্তরাজ্যের জাতীয় সাইবার নিরাপত্তা কেন্দ্রও দ্রুত ব্যবস্থা নেওয়ার তাগিদ দিয়েছে এবং সুরক্ষাব্যবস্থা চালু না হওয়া পর্যন্ত সিস্টেম অফলাইনে রাখাকে সম্ভাব্য পদক্ষেপ হিসেবে উল্লেখ করেছে।

আইপিএর নির্দেশনায় করণীয়ের ধাপগুলো তুলে ধরা হয়েছে। হালনাগাদ বা স্থানান্তরের ব্যবস্থা করার সময় প্রতিষ্ঠানগুলোর প্রথমে সাময়িক সুরক্ষা ও প্রবেশাধিকার সীমিত করার বিষয়টি বিবেচনা করা উচিত। কার্যকর সাময়িক ব্যবস্থা নেওয়া কঠিন হলে সম্ভাব্য ক্ষতি ও ব্যবসায়িক বিঘ্ন বিবেচনা করে বাইরের প্রবেশ বন্ধ করা বা সেবা স্থগিত রাখার সিদ্ধান্ত নিতে হবে।

গ্রাহকদের জন্য এর অর্থ ছিল অপারেটররা কাজ করার সময় দৈনন্দিন বিভিন্ন সেবা ব্যবহার করতে না পারা। কেনাকাটার সাইটে অর্ডার নেওয়া বন্ধ হতে পারে, আর্থিক ওয়েবসাইটে অ্যাকাউন্টের কাজ স্থগিত থাকতে পারে, আর আর্কেড মেশিনে অনলাইন সুবিধার সংযোগ বিচ্ছিন্ন হতে পারে।

অ্যাসিউরডের তদন্তে নেতৃত্ব দেওয়া ইয়াসুহিরো সুজুকি বলেন, গ্রাহকের তথ্য সুরক্ষায় অপারেটররা ক্রমেই সেবা স্থগিত রাখার সিদ্ধান্ত নিচ্ছেন। সেবা আবার চালু হতে দেরি হওয়ায় নিরাপদে তা ফিরিয়ে আনা কতটা কঠিন, সেটিও স্পষ্ট হয়েছে। তাঁর মূল্যায়নে মূল পরিচালনাগত সমস্যাটি উঠে এসেছে: প্রবেশ বন্ধ করা দ্রুত সম্ভব, কিন্তু সেবা ফিরিয়ে আনতে হলে সংশ্লিষ্ট কাজগুলো সম্পন্ন করতে হয়।

প্যাচ দিলেই পুনরায় চালু করা যায় না

একই করপোরেট গোষ্ঠীর বিভিন্ন সেবা কেন ভিন্ন সময়ে চালু হতে পারে, বান্দাই নামকোর বিঘ্ন তার উদাহরণ। গোষ্ঠীটি আশা করছে ২৭ অক্টোবর তাদের পণ্য বিক্রির স্টোর চালু হবে, কিন্তু আর্কেড গেমগুলোর সংযোগ তখনো স্থগিত ছিল। পিএইচপি প্যাচ ইনস্টলের জন্য প্রয়োজনীয় সিস্টেম হালনাগাদ করতে সময় লাগছিল।

কিছু সেবা সাময়িকভাবে অন্য একটি প্রতিষ্ঠানের সার্ভারে তথ্য স্থানান্তরের কথাও ভাবছিল। ওই সার্ভারের নিরাপত্তা যাচাই করা হয়েছিল। এতে দলগুলো আক্রান্ত পরিবেশ নিয়ে কাজ করার সময় সেবাটি অন্য স্থানে চালানো সম্ভব, তবে গ্রাহকদের জন্য সেবা ফেরানোর আগে আরও কিছু প্রস্তুতি নিতে হয়।

দাইওয়া সিকিউরিটিজ প্রায়শই জিজ্ঞাসিত প্রশ্নসহ ওয়েবসাইটের কিছু অংশ চালু করেছিল, কিন্তু ২৬ অক্টোবর পর্যন্ত অ্যাকাউন্ট খোলার আবেদন ও ঠিকানা পরিবর্তনের কাজ বন্ধ ছিল। ফলে তথ্য জানার পৃষ্ঠা সচল থাকলেও গ্রাহকদের কিছু কার্যক্রম ব্যাহত হচ্ছিল।

আইপিএ ব্যাখ্যা করেছে, দীর্ঘদিন হালনাগাদ না হওয়া সিস্টেমে অ্যাপ্লিকেশনের কোড পরিবর্তন করতে হতে পারে এবং পিএইচপি হালনাগাদের পর বিভিন্ন ফাংশন ঠিকমতো কাজ করছে কি না, তা পরীক্ষা করতে হয়। উন্নয়নসংক্রান্ত নথি না থাকা, সিস্টেম সম্পর্কে জানেন এমন কর্মী না থাকা এবং রক্ষণাবেক্ষণ চুক্তির মেয়াদ শেষ হওয়ায় কাজ আরও কঠিন হতে পারে। সংশোধিত সংস্করণ যথেষ্ট পরীক্ষা করে দ্রুত ইনস্টল করার পরামর্শ দিয়েছে জেপিসার্ট/সিসি।

কোন সংস্করণগুলোতে নজর দিতে হবে?

মূল দুটি দুর্বলতার জন্য সংশোধিত পিএইচপি সংস্করণ হিসেবে আইপিএ ও জেপিসার্ট/সিসি চারটি সংস্করণের কথা জানিয়েছে: PHP 8.2.35, 8.3.36, 8.4.27 এবং 8.5.12। এসব শাখার আগের সংস্করণগুলো আক্রান্ত। অপারেটরদের নিজেদের সিস্টেমে ব্যবহৃত পিএইচপি শাখার সঙ্গে মিলিয়ে সমাধানটি প্রয়োগ করতে হবে এবং সফটওয়্যার বা অপারেটিং সিস্টেম সরবরাহকারীর নির্দেশনা যাচাই করতে হবে।

পুরোনো ইনস্টলেশনে আরও একটি সমস্যা রয়েছে। আইপিএ নিরাপত্তা প্রতিষ্ঠান উইজের গবেষণার উদ্ধৃতি দিয়ে বলেছে, PHP 5.4 থেকে শুরু করে পরের সংস্করণগুলোর অন্তত একটিতে দুটি দুর্বলতার যেকোনো একটি রয়েছে। PHP 8.1 এবং এর আগের সংস্করণগুলোর সহায়তা বন্ধ হয়ে গেছে; অর্থাৎ সমর্থিত সংস্করণগুলোতে যে নিয়মিত রক্ষণাবেক্ষণ পাওয়া যায়, সেগুলোতে আর তা পাওয়া যায় না।

সমাধান না থাকলে সমর্থিত পিএইচপি সংস্করণে বা সুরক্ষাব্যবস্থা রয়েছে এমন পণ্য ও সেবায় যাওয়ার পরামর্শ দিয়েছে আইপিএ। দুর্বলতাগুলোর গুরুতরতার কারণে পিএইচপির নির্মাতারা PHP 7.4, 8.0 এবং 8.1-এর জন্য সীমিত ঝুঁকি প্রশমন ব্যবস্থা দিয়েছেন বলেও জানিয়েছে জেপিসার্ট/সিসি।

সাময়িক ঝুঁকি প্রশমন নির্দিষ্ট কিছু হামলার পথ দিয়ে আক্রমণের সুযোগ কমায়। মূল দুর্বলতাগুলোর প্রতিকার হলো হালনাগাদ করা বলে জানিয়েছে জেপিসার্ট/সিসি। তাই সাময়িক সেটিং ব্যবহার করলেও সংশ্লিষ্ট সিস্টেমের সফটওয়্যার হালনাগাদ বা স্থানান্তরের পরিকল্পনা করতে হবে।

আক্রমণের চেষ্টা জরুরিতা বাড়াচ্ছে

২৬ অক্টোবর জেপিসার্ট/সিসির পিএইচপি দুর্বলতা-সংক্রান্ত সতর্কতার হালনাগাদে বলা হয়েছে, ত্রুটিগুলো কাজে লাগানোর দাবি করা বহু প্রদর্শনীমূলক কোড প্রকাশিত হয়েছে। ত্রুটি কাজে লাগানোর চেষ্টা করে এমন নেটওয়ার্ক ট্রাফিকের পুনরাবৃত্ত প্রতিবেদনও এতে উল্লেখ করা হয়েছে।

এ ধরনের কোড সফল হবে কি না, তা পিএইচপি সংস্করণ, চালানোর পরিবেশ এবং মেমোরিতে তথ্য কীভাবে সাজানো আছে—এ ধরনের বিষয়ের ওপর নির্ভর করে। নির্দিষ্ট পরিবেশকে লক্ষ্য করে আরও হামলার পদ্ধতি ও কৌশল সামনে আসতে পারে বলে সতর্ক করেছে জেপিসার্ট/সিসি। সংস্থাটি হালনাগাদের পাশাপাশি সম্ভাব্য অনুপ্রবেশের তদন্তের পরামর্শ দিয়েছে।

তদন্তের নির্দেশনায় অস্বাভাবিক দীর্ঘ বা বিচিত্রভাবে সাজানো PHPSESSID কুকি খতিয়ে দেখার কথা বলা হয়েছে। ব্রাউজারের সেশন শনাক্ত করতে এ কুকিতে তথ্য থাকে। সতর্কসংকেতের মধ্যে রয়েছে multipart/form-data ব্যবহার করে পাঠানো সন্দেহজনক অনুরোধ। আপলোডের ক্ষেত্রে এ ফরম্যাটটি সাধারণত ব্যবহৃত হয়। বিশেষ করে মেমোরি সীমা-সংক্রান্ত ত্রুটি বা সার্ভারের সমস্যা বোঝানো HTTP 500 ত্রুটির আশপাশে এমন অনুরোধ থাকলে তা খতিয়ে দেখা উচিত।

পিএইচপি ওয়ার্কার প্রসেস হঠাৎ বন্ধ হয়ে যাওয়া বা ঘন ঘন পুনরায় চালু হওয়াও পরীক্ষা করে দেখতে হবে। ওয়ার্কার হলো আগত কাজ পরিচালনাকারী প্রসেস। সন্দেহজনক প্রসেস, বাইরের সঙ্গে যোগাযোগ ও নতুন তৈরি ফাইল খতিয়ে দেখার পাশাপাশি নিয়মিত নজরদারি চালিয়ে যাওয়ার পরামর্শও দিয়েছে জেপিসার্ট/সিসি। অনুপ্রবেশের সন্দেহ হলে লগ ও অন্যান্য প্রমাণ সংরক্ষণ, আক্রান্ত অংশ তদন্ত এবং প্রয়োজনে সিস্টেম বিচ্ছিন্ন করার পরামর্শ দিয়েছে সংস্থাটি।

তৃতীয় দুর্বলতা সামলাতে সেটিং পরিবর্তন প্রয়োজন

২৩ অক্টোবর পিএইচপির নির্মাতারা CVE-2026-115560-এর কথা জানান, ফলে প্রতিক্রিয়ার সময় আরও একটি কাজ যুক্ত হয়। জেপিসার্ট/সিসি বলেছে, কনফিগারেশন সেটিং ও অ্যাপ্লিকেশন কোডের একটি নির্দিষ্ট সমন্বয় থাকলে এই দুর্বলতাটি দিয়ে ইচ্ছামতো কোড চালানো সম্ভব।

নির্মাতারা বলেছেন, আক্রান্ত কনফিগারেশনটি সচরাচর দেখা যায় না এবং স্বাভাবিক প্রকাশচক্রে সমাধান দেওয়ার পরিকল্পনা রয়েছে। সেটি প্রকাশিত হওয়া পর্যন্ত session.upload_progress.enabled=0 সেট করে সব ওয়ার্কার প্রসেস পুনরায় চালুর সুপারিশ করেছে জেপিসার্ট/সিসি। ২৬ অক্টোবরের হালনাগাদে সমাধানটি প্রকাশের কোনো তারিখ জানানো হয়নি।

CVE-2026-109619-এর ঝুঁকি কমাতেও আগে থেকেই একই সেটিংয়ের সুপারিশ করা হয়েছিল। সতর্কতা অনুযায়ী, যেসব অপারেটর সেটিংটি প্রয়োগ করেছেন, তাঁদের কনফিগারেশনের ওই ধাপটি আবার নিতে হবে না। সিস্টেম যাচাইয়ের সময় দলগুলোকে মূল দুটি দুর্বলতা এবং এই অতিরিক্ত সমস্যাটিও বিবেচনায় নিতে হবে।

কিছু প্রতিষ্ঠানের সামনে বড় সিদ্ধান্ত

আইপিএর পরামর্শ তাৎক্ষণিক মেরামতের বাইরেও বিস্তৃত। কোনো সিস্টেম এখনো কী কাজে লাগছে, সেটি কতটা ব্যবহৃত হয় এবং অন্য কোনো সেবা তার বিকল্প হতে পারে কি না—এসব যাচাই করতে প্রতিষ্ঠানগুলোকে বলেছে সংস্থাটি। দীর্ঘদিন রক্ষণাবেক্ষণ না হওয়া সফটওয়্যারের ক্ষেত্রে সেবা ফিরিয়ে আনতে হলে পরে সেটির রক্ষণাবেক্ষণের দায়িত্ব কে নেবে, সেই সিদ্ধান্তও নিতে হতে পারে।

প্রযুক্তি কর্মীদের পাশাপাশি ব্যবসায়িক ব্যবস্থাপক ও নির্বাহীদেরও মূল্যায়ন করতে হবে, হালনাগাদ বা স্থানান্তর এবং পরবর্তী কার্যক্রম চালিয়ে যেতে প্রয়োজনীয় জনবল, বাজেট ও রক্ষণাবেক্ষণের ব্যবস্থা করা সম্ভব কি না। আইপিএ বলেছে, এ ধরনের সহায়তা দেওয়া সম্ভব হলে হালনাগাদ করা বা সুরক্ষিত সেবায় যাওয়া উচিত।

পরবর্তী রক্ষণাবেক্ষণের ব্যবস্থা করা না গেলে আইপিএ কয়েকটি বিকল্পের কথা বলেছে: সহায়তাপ্রাপ্ত পণ্যে স্থানান্তর, ফাংশন কমানো, জনসাধারণের প্রবেশ বন্ধ করা বা সিস্টেমটি অবসরে নেওয়া। প্রয়োজনীয় তথ্য সংরক্ষণ বা স্থানান্তরের পরিকল্পনা এবং বিকল্প ব্যবস্থার বিষয়ে ব্যবহারকারীদের জানানোরও আহ্বান জানিয়েছে সংস্থাটি।

এখন বাস্তব চ্যালেঞ্জটি নির্দিষ্ট পিএইচপি সংস্করণ ইনস্টল করা থেকে শুরু করে গ্রাহকদের জন্য আলাদা আলাদা ফাংশন ফিরিয়ে আনা পর্যন্ত বিস্তৃত। বান্দাই নামকোর অনলাইন স্টোর চালুর সম্ভাব্য তারিখ একটি নির্ধারিত পদক্ষেপের ইঙ্গিত দেয়। আর অ্যাসিউরডের হিসাবে পুনরায় চালুর ঘোষণা নিশ্চিত হয়নি এমন ৪৬৫টি সেবা দেখায়, ২৬ অক্টোবর পর্যন্ত জনসমক্ষে সেবার অবস্থা যাচাইয়ের কতটা কাজ বাকি ছিল।

মূল বিষয়গুলো

• ২৬ অক্টোবর বিকেল ৩টা পর্যন্ত জাপানে ১,০৯০টি সেবা বন্ধ থাকার হিসাব করেছে অ্যাসিউরড; ২৩ অক্টোবর এ সংখ্যা ছিল ৫০২।
• ৪৬৫টি সেবা আবার চালুর ঘোষণা নিশ্চিত হয়নি, যা মোট সংখ্যার প্রায় ৪৩ শতাংশ।
• পিএইচপি২শেল দুর্বলতা কাজে লাগিয়ে দূর থেকে আক্রমণকারীরা পিএইচপি প্রসেসের অনুমতি নিয়ে কোড চালাতে পারে।
• মূল দুটি ত্রুটির সংশোধিত সংস্করণ হলো PHP 8.2.35, 8.3.36, 8.4.27 এবং 8.5.12।
• প্রদর্শনীমূলক কোড প্রকাশিত হওয়া এবং আক্রমণের চেষ্টা-সংক্রান্ত প্রতিবেদনের বিষয়ে সতর্ক করেছে জেপিসার্ট/সিসি।
• তৃতীয় দুর্বলতা সামলাতে সাময়িকভাবে কনফিগারেশন পরিবর্তন এবং সমাধান প্রস্তুত হওয়া পর্যন্ত সব ওয়ার্কার পুনরায় চালু করা প্রয়োজন।
• বান্দাই নামকো ২৭ অক্টোবর দুপুরে তাদের পণ্য বিক্রির স্টোর আবার চালুর আশা করেছিল; ২৬ অক্টোবর পর্যন্ত কিছু আর্কেড সংযোগ এবং দাইওয়া সিকিউরিটিজের কার্যক্রম স্থগিত ছিল।