যে বাগ ছয় বছর ঘুমিয়ে ছিল, এআই তাকে জাগাল

২০ অক্টোবর, মঙ্গলবার। প্রযুক্তি ফোরাম হ্যাকার নিউজের (Hacker News) পাতায় হঠাৎ ভেসে উঠল দুটি নম্বর: CVE-2026-109618 আর CVE-2026-109619। সঙ্গে কোনো বিবরণ ছিল না, কোনো কোডও না। কিন্তু বিশ্বজুড়ে নিরাপত্তা দলগুলোর ঘুম কাড়তে ওই দুটি নম্বরই যথেষ্ট ছিল। কারণ, দুটিই ছিল পিএইচপির (PHP) গুরুতর ত্রুটির শনাক্তকারী নম্বর। ওয়েবপ্রযুক্তির জরিপ প্রতিষ্ঠান ডব্লিউথ্রিটেকসের (W3Techs) হিসাবে, যেসব ওয়েবসাইটের সার্ভারের ভাষা জানা যায়, তার প্রায় ৭০ শতাংশ চলে এই প্রোগ্রামিং ভাষায়।

ঘোষণা ছিল ২২ অক্টোবর ত্রুটি সারানোর আপডেট আসবে। তথ্য ফাঁস হয়ে যাওয়ায় পিএইচপির নিরাপত্তা দল আপডেট এক দিন এগিয়ে আনে। এরপর যা ঘটল, তাকে নিরাপত্তা দুনিয়ার ভাষায় বলা যায় দৌড় প্রতিযোগিতা। একদিকে হাজারো সার্ভারে আপডেট বসানোর তাড়া, অন্যদিকে হামলাকারীদের ঝাঁপিয়ে পড়া।

মার্কিন সংবাদমাধ্যম অ্যাক্সিওস ক্লাউডফ্লেয়ারের (Cloudflare) প্রধান নির্বাহী ম্যাথিউ প্রিন্সের বরাতে সেই ঝাঁপিয়ে পড়ার হিসাব দিয়েছে:

• ঘোষণার আগের ১০ ঘণ্টায় হামলার চেষ্টা হয় কয়েক হাজার।

• ঘোষণার ৪৫ মিনিটের মধ্যে তা দাঁড়ায় কয়েক হাজার থেকে কয়েক লাখের কাছাকাছি।

• দুই ঘণ্টায় কয়েক লাখ।

• আর প্রিন্স যখন লিখছিলেন, তখন সংখ্যাটা কোটিতে পৌঁছেছে।

কিন্তু সবচেয়ে অস্বস্তিকর তথ্যটা এসেছে আরও পেছন থেকে। অ্যামাজনের থ্রেট ইন্টেলিজেন্স দল জানিয়েছে, ১৭ অক্টোবর তারা এই ত্রুটি কাজে লাগানোর একটি চেষ্টা দেখেছে। তখনো ত্রুটিটি গোপন রাখা হচ্ছিল, প্রকাশ্যে আসতে বাকি চার দিন। তাহলে কি কেউ আগেই জানত? এ প্রশ্নের উত্তর এখনো মেলেনি।

ছয় বছরের ঘুম

যুক্তরাষ্ট্রের প্রযুক্তি সাময়িকী ওয়্যার্ড (WIRED) এ ঘটনাকে বলেছে ‘পিএইচপি মেল্টডাউন’ (PHP Meltdown)। এর সবচেয়ে চমকপ্রদ দিক হামলা নয়, ত্রুটিটির বয়স।

সাইবার নিরাপত্তা সংবাদমাধ্যম সিকিউরিটিউইকের (SecurityWeek) প্রতিবেদন অনুযায়ী, প্রথম গলদটি ধরা পড়েছিল ২০২০ সালে। সমস্যাটা ছিল সার্ভারের মেমোরি ফুরিয়ে যাওয়ার মুহূর্তে পিএইচপির আচরণে। ২০২৪ সালে পিএইচপির এক নিরীক্ষায় তা আবার চোখে পড়ে। কিন্তু তখনো কেউ প্রমাণ করতে পারেননি যে এই গলদ দিয়ে আসলে হামলা চালানো যায়। কাজেই সমস্যাটা খাতায় থেকে গেল, সারানো হলো না।

গুগলের মালিকানাধীন নিরাপত্তা প্রতিষ্ঠান উইজের (Wiz) গবেষক সাগি জাদিক ওয়্যার্ডকে বিষয়টি ব্যাখ্যা করেছেন এভাবে: পিএইচপি দল বছরের পর বছর এ ত্রুটির কথা জানত। কিন্তু কোনো হামলাকারী তা কাজে লাগাতে পারছিল না, তাঁর ভাষায়, ‘অন্তত কোনো মানুষ হামলাকারী নয়’। তাই এর সমাধানও হয়নি।

শেষ শব্দগুলোতেই পুরো ঘটনার ইঙ্গিত। মানুষ যা পারেনি, যন্ত্রের সাহায্যে তা সম্ভব হলো।

চলতি বছরের আগস্টে নিরাপত্তা প্রতিষ্ঠান ক্যালিফের (Calif) গবেষকেরা পুরোনো সেই গলদকে রিমোট কোড এক্সিকিউশনে (Remote Code Execution) রূপ দেন। এর মানে, দূর থেকে অন্যের সার্ভারে নিজের ইচ্ছেমতো কোড চালানোর ক্ষমতা। ওয়্যার্ড জানিয়েছে, তাঁরা এ কাজে ওপেনএআইয়ের ‘প্যাচ দ্য প্ল্যানেট’ (Patch the Planet) কর্মসূচির আওতায় অত্যাধুনিক এআই মডেল ব্যবহার করেছেন। পাশাপাশি কাজে লেগেছে পিএইচপির ভেতরের কলকবজা নিয়ে মানুষের গভীর জ্ঞান। ১১ আগস্ট ক্যালিফ ও ওপেনএআই আলাদাভাবে একই সমস্যার খবর দেয়। পরে ওপেনএআই ও উইজ হামলার আরও কয়েকটি পথ খুঁজে পায়।

দরজায় তালা নেই, পুরোনো অতিথির চাবি এখনো চলে

দুটি ত্রুটির প্রকৃতি জটিল, তবে মূল ভাবনাটা সহজ করে বলা যায়।

প্রথম ত্রুটিতে সার্ভারের মেমোরি ফুরিয়ে গেলে পিএইচপি মাঝপথে থেমে যায়। তখন অর্ধেক তৈরি হওয়া তথ্যকেও সম্পূর্ণ ও বৈধ ধরে নেয়। দ্বিতীয়টি অনেকটা হোটেলের কক্ষের মতো। আগের অতিথি চলে গেছেন, কিন্তু তাঁর চাবি এখনো দরজা খোলে। এক অনুরোধের রেখে যাওয়া তথ্য পরের অনুরোধের হাতে চলে যায়, সাফ হওয়ার আগেই।

হেল্প নেট সিকিউরিটি জানিয়েছে, ভয়ের জায়গা হলো এ হামলার জন্য পাসওয়ার্ড বা লগইন লাগে না। একটিমাত্র অনুরোধই যথেষ্ট, আর তা কাজ করে ওয়েবসাইটের নিজস্ব কোড চলার আগেই। সিকিউরিটিউইক লিখেছে, ত্রুটিগুলো দিয়ে সার্ভারের মেমোরিতে থাকা পাসওয়ার্ড ও এপিআই কি (API key) পর্যন্ত পড়ে ফেলা যায়। দুটিরই তীব্রতা ১০-এর মধ্যে ৯.২।

এর ধাক্কা লেগেছে বড় প্রতিষ্ঠানগুলোতেও:

• অ্যাক্সিওস জানিয়েছে, আপডেট বসানো পর্যন্ত উইকিপিডিয়ার কিছু সেবা আর ফোরচ্যান (4chan) বন্ধ রাখা হয়।

• বার্তা সংস্থা এপি জানিয়েছে, জাপান সরকার সতর্কতা হিসেবে কিছু সরকারি ওয়েবসাইটের অংশবিশেষ সাময়িকভাবে বন্ধ রাখে।

• ফিনল্যান্ডের সরকারি ওয়েবসাইটেও বিঘ্ন ঘটে।

• মার্কিন তদন্ত সংস্থা এফবিআইয়ের সাইবার বিভাগ পরামর্শ দিয়েছে, সঙ্গে সঙ্গে আপডেট করা না গেলে ওয়েবসাইট বন্ধ রাখতে।

আতঙ্ক আর বাস্তবতার ফারাক

এত কিছুর পরও এখন পর্যন্ত যা ঘটেনি, সেটাও খবর। ব্যাপকভাবে সার্ভার দখল বা তথ্য চুরির কোনো দুঃস্বপ্নের খবর এখনো আসেনি।

এ নিয়ে বিভিন্ন পক্ষের বক্তব্য:

• পিএইচপি ফাউন্ডেশন: আপডেট প্রকাশের সময় অনলাইনে ঘোরা প্রুফ অব কনসেপ্ট (Proof of Concept) কোডগুলো তারা পরীক্ষা করেছে, কার্যকর কোনোটি পায়নি।

• ওয়্যার্ড: ফাউন্ডেশন এখনো সফল কোনো হামলার কথা জানে না, আর ছড়িয়ে পড়া অনেক এক্সপ্লয়েট আদতে অকেজো।

• যুক্তরাষ্ট্রের সাইবার নিরাপত্তা সংস্থা সিসা (CISA): ২১ অক্টোবরের সতর্কবার্তায় জানিয়েছে, তখন পর্যন্ত হামলার প্রমাণ মেলেনি।

• অ্যামাজন: উল্টো দিকে তাদের দাবি, ত্রুটিটি ব্যাপকভাবে কাজে লাগানোর চেষ্টা চলছে।

চেষ্টা আর সাফল্যের এই ফারাকটাই এখন সবচেয়ে বড় প্রশ্ন।

এআই কি নতুন দানব

ওয়্যার্ডের প্রশ্নটা সরাসরি: দশকের পর দশক ধরে পড়ে থাকা গুরুতর ত্রুটির এক ঢেউ কি এবার আমাদের ভাসিয়ে নিতে আসছে?

লক্ষণ যে আছে, তা অস্বীকারের উপায় নেই:

• সিকিউরিটিউইককে পিএইচপি ফাউন্ডেশন জানিয়েছে, এআইয়ের কল্যাণে ১ জুলাইয়ের পর পিএইচপিতে ১৫টি নতুন সিভিই প্রকাশিত হয়েছে।

• ওয়্যার্ডের তথ্যমতে, মাইক্রোসফটের এ মাসের নিরাপত্তা আপডেটে সারানো হয়েছে রেকর্ড ১ হাজার ৪৫৩টি দুর্বলতা।

• একই প্রতিবেদন অনুযায়ী, অ্যানথ্রপিকের এআই মডেল মিথোসের (Mythos) খুঁজে পাওয়া ত্রুটি সারাতে ব্যাংক অব আমেরিকা এক হাজার পরামর্শক নিয়োগ দিয়েছে।

তবে গবেষকেরা মনে করিয়ে দিচ্ছেন, এআই নতুন কিছু করছে না। দুর্বলতা খোঁজা আর তা গোপনে সংশ্লিষ্টদের জানানোর যে পুরোনো চক্র, এআই শুধু সেই চক্রের গতি বহু গুণ বাড়িয়ে দিয়েছে।

হান্টার স্ট্র্যাটেজির গবেষণা ও উন্নয়নপ্রধান এবং মার্কিন জাতীয় নিরাপত্তা সংস্থার (এনএসএ) সাবেক হ্যাকার জেক উইলিয়ামস ওয়্যার্ডকে বলেছেন, দীর্ঘদিন ধরে সফটওয়্যারের প্রতিটি সংস্করণে লুকিয়ে থাকা এমন বাগ সামনে আরও দেখা যাবে। তবে তাঁর মতে, হাতের নাগালে থাকা এমন সহজ শিকারের সংখ্যা সীমিত। পিএইচপির মতো এত বিস্তৃত পরিসর খুব কম প্রযুক্তির আছে, কারণ বেশির ভাগ টুল নকশাগতভাবেই সরাসরি ইন্টারনেটে খোলা থাকে না।

আরেকটি সত্যও এখানে স্পষ্ট। অত্যাধুনিক মডেল থাকলেও প্রতিটি জটিল সাফল্যের পেছনে মানুষের দক্ষতা লেগেছে। ক্যালিফের যে গবেষক প্রথম ত্রুটিগুলো খুঁজে পান, সেই রায়ান অস্টিন লিখেছেন, সাধারণ প্রম্পট দিয়ে সব বাগ খুঁড়ে বের করার ক্ষমতা কোনো মডেলের নেই। সঙ্গে যোগ করেছেন ছোট্ট একটি শর্ত: অন্তত এখন পর্যন্ত।

নিরাপত্তা প্রকৌশলী নিলস প্রভোস আরও আশ্বস্ত করেছেন। ওয়্যার্ডকে তিনি বলেন, তিনি আসলে খুব একটা চিন্তিত নন। মানুষ এক বছরের বেশি সময় ধরে এআই দিয়ে খুঁজছে, অথচ এই ত্রুটি বের করতে লেগেছে অত্যন্ত দক্ষ একটি দল।

তবু ক্যালিফের গবেষকের সেই ছোট্ট শর্ত, ‘অন্তত এখন পর্যন্ত’, মনের ভেতর থেকে যায়। ছয় বছর যে ত্রুটি নিরীহ বলে খাতায় পড়ে ছিল, কয়েক সপ্তাহে তা অস্ত্র হয়ে উঠেছে। আজ যে বাগকে কাজে লাগানো অসম্ভব মনে হচ্ছে, কাল সেটির কী হবে, তা কেউ জোর দিয়ে বলতে পারছে না।

আপনার ওয়েবসাইট কি ঝুঁকিতে

বাংলাদেশের অধিকাংশ সংবাদ পোর্টাল, প্রাতিষ্ঠানিক ও ব্যক্তিগত ওয়েবসাইট চলে ওয়ার্ডপ্রেসে (WordPress), আর ওয়ার্ডপ্রেস চলে পিএইচপিতে। হেল্প নেট সিকিউরিটি ও ক্লাউডফ্লেয়ারের পরামর্শ অনুযায়ী, যা করণীয়:

• পিএইচপির সংস্করণ মিলিয়ে নিন। নিরাপদ সংস্করণ হলো ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ ও ৮.২.৩৫। ৭.৪, ৮.০ ও ৮.১-এর জন্য ছোট আকারের সংশোধনী (backport) দেওয়া হয়েছে।

• শেয়ার্ড হোস্টিং হলে হোস্টিং প্রতিষ্ঠানকে জিজ্ঞেস করুন, তারা পিএইচপি আপডেট করেছে কি না।

• প্লাগইন বা থিম আপডেটে এ সমস্যার সমাধান হবে না। ক্লাউডফ্লেয়ার স্পষ্ট বলেছে, সমাধান একটাই: পিএইচপি নিজেকে আপডেট করা।

• ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল (WAF) বাড়তি সুরক্ষা দিতে পারে, তবে তা আপডেটের বিকল্প নয়।

• তাৎক্ষণিক আপডেট সম্ভব না হলে যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার আর এফবিআই সাময়িকভাবে সাইট বন্ধ রাখার পরামর্শ দিয়েছে।