PHP2Shell দুর্বলতা থেকে পরিণতি ইন্টারনেটের সবচেয়ে বড় সমন্বিত জরুরী প্রতিক্রিয়াগুলির মধ্যে একটিতে পরিণত হয়েছে, সরকার সতর্কতা হিসাবে ওয়েবসাইটগুলিকে অফলাইনে টেনে আনছে এবং নিরাপত্তা সংস্থাগুলি PHP প্রোগ্রামিং ভাষা চালিত ওয়েবসাইটগুলির বিরুদ্ধে লক্ষ লক্ষ শোষণের প্রচেষ্টার রিপোর্ট করছে, যা বিশ্বের প্রায় 70 শতাংশ সাইটকে আন্ডারপিন করে৷
কয়েক ঘন্টার মধ্যে শোষণের প্রচেষ্টা For more context on this story, see our ongoing AI trends.
দ্য গার্ডিয়ানের মতে, ক্লাউডফ্লেয়ারের সিইও ম্যাথু প্রিন্স বলেছেন, দুর্বলতা প্রকাশের পর প্রথম 45 মিনিটে তার কোম্পানি কয়েক হাজার শোষণের প্রচেষ্টা রেকর্ড করেছে, যা দুই ঘণ্টার মধ্যে কয়েক হাজারে বেড়েছে এবং "এখন মিলিয়নে।" ক্লাউডফ্লেয়ারও 10 ঘন্টার মধ্যে হাজার হাজার প্রচেষ্টা দেখার রিপোর্ট প্রকাশ্যে ঘোষণা করার আগে, একটি বিশদ যা প্রকাশটি কীভাবে পরিচালনা করা হয়েছিল সে সম্পর্কে উদ্বেগ বাড়িয়েছে।
অ্যামাজন থ্রেট ইন্টেলিজেন্স বলেছে যে PHP2Shell "এখন বন্য অঞ্চলে ব্যাপকভাবে শোষণ করা হচ্ছে" এবং এটি পিএইচপি বিকাশকারীরা বুধবার ফিক্সটি প্রকাশ করার আগেও দুর্বলতাকে পুঁজি করার উপায় খুঁজে বের করার জন্য একাধিক অভিনেতার কাছ থেকে বেশ কয়েকটি প্রচেষ্টা চিহ্নিত করেছে। ইউনিভার্সিটি অফ সারে-এর সিকিউরিটি প্রফেসর অ্যালান উডওয়ার্ড সংবাদপত্রকে বলেছেন যে প্যাচটি উপলব্ধ হওয়ার একদিন আগে ত্রুটিটি প্রকাশ করা হয়েছিল, "কেউ কেউ বিড়ালটিকে ব্যাগ থেকে বের করতে দেয়।"
সরকারগুলি প্যাচ করার জন্য সাইটগুলিকে অফলাইনে নিয়ে যায়৷
প্রতিক্রিয়া অস্বাভাবিকভাবে কঠোর হয়েছে. ইউনাইটেড কিংডমে, সাইবার নিরাপত্তা মন্ত্রী লিজ লয়েড সংসদকে বলেছেন যে 32টি সরকারি পরিষেবা অফলাইনে নেওয়া হয়েছে, আপডেটগুলি প্রয়োগ করার সময় এই পদক্ষেপটিকে মূলত সতর্কতামূলক হিসাবে বর্ণনা করা হয়েছে। ডাউনিং স্ট্রিট বলেছে যে কোনও জনসাধারণের মুখোমুখি সমালোচনামূলক পরিষেবাগুলি প্রভাবিত হয়নি এবং কিছু সীমিত পরিষেবাগুলি সাময়িকভাবে অনুপলব্ধ হতে পারে, তবে জোর দিয়েছিল এর অর্থ এই নয় যে তারা হ্যাক হয়েছে।
যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার ক্ষতিগ্রস্ত সংস্থাগুলোকে 50,000টি সতর্কবার্তা পাঠিয়েছে এবং বলেছে যে তারা সফল হ্যাকের কোনো রিপোর্ট পায়নি। সংস্থাটি দুর্বলতার স্কেলটিকে "অভূতপূর্ব" হিসাবে বর্ণনা করেছে এবং সতর্ক করেছে যে প্যাচটি পুরানো সিস্টেমগুলি চালিত কিছু সংস্থার জন্য কাজ করবে না, যা তাদের সম্পূর্ণভাবে প্রতিস্থাপন করতে হবে। অস্থায়ী বিভ্রাটের কারণে প্রভাবিত সাইটগুলির মধ্যে রয়েছে বিবিসির ট্রেইটারস শো ওয়েবসাইট, ইন্টারনেট আর্কাইভ, উইকিপিডিয়া এবং 4চ্যান।
মার্কিন যুক্তরাষ্ট্রে, ন্যাশনাল সিকিউরিটি এজেন্সি একটি পরামর্শমূলক সতর্কতা জারি করেছে যে ত্রুটিটি আক্রমণকারীদের ওয়েব সার্ভারের নিয়ন্ত্রণ দখল করতে, সংবেদনশীল ডেটা চুরি করতে, পরিষেবাগুলিকে ব্যাহত করতে এবং আপোসকৃত নেটওয়ার্কগুলিতে আরও গভীরে যেতে দিতে পারে। "সাইবার-অভিনেতারা সম্ভবত PHP2Shellকে অস্ত্রোপচার করতে পারে," সংস্থাটি বলেছে, "ঝুঁকিগুলি যথেষ্ট গুরুতর যা মার্কিন সরকারী বিভাগ এবং সংস্থাগুলি জুড়ে অবিলম্বে প্যাচিংয়ের প্রয়োজন।"
জরুরি প্রতিক্রিয়া দ্রুত সীমানা অতিক্রম করে। দক্ষিণ কোরিয়া জরুরী প্রতিক্রিয়া ব্যবস্থা সক্রিয় করেছে, তার ব্যক্তিগত-ক্ষেত্রের সাইবার নিরাপত্তা সতর্কতা স্তর বাড়িয়েছে এবং কয়েক হাজার কোম্পানিকে নির্দেশিকা জারি করেছে। চীনের শিল্প মন্ত্রক সংস্থাগুলিকে তাদের সিস্টেমগুলি পরিদর্শন করার, পিএইচপি-র সর্বশেষ সুরক্ষিত সংস্করণে আপগ্রেড করার এবং পাসওয়ার্ড এবং কীগুলি পরিবর্তন করার আহ্বান জানিয়েছে। জাপানের প্রধানমন্ত্রী ব্যবসায়িকদের দুর্বলতা কাটাতে বা তাদের সাইট বন্ধ করতে উৎসাহিত করেছেন।
কেন PHP2Shell কে ঐতিহাসিক বলা হচ্ছে
সিয়ারান মার্টিন, NCSC-এর প্রাক্তন প্রধান নির্বাহী, ত্রুটিটিকে "খুব খারাপ" এবং "পাঁচ বছর ধরে আবিষ্কৃত সবচেয়ে গুরুতর দুর্বলতা" হিসাবে বর্ণনা করেছেন। উইজ, একটি গবেষণা সংস্থা যা দুর্বলতা উন্মোচন করেছে, বলেছে যে এটি এখন পর্যন্ত আবিষ্কৃত সবচেয়ে গুরুতর সফ্টওয়্যার ত্রুটিগুলির মধ্যে একটি।
দুর্বলতার উত্স যা এটিকে এআই সুরক্ষার জন্য একটি ল্যান্ডমার্ক করে তোলে। উইজ-এর মতে, অন্তর্নিহিত PHP ত্রুটিগুলি কয়েক দশক ধরে উপস্থিত ছিল, কিন্তু তারা বাস্তবে শোষণযোগ্য ছিল তা প্রদর্শন করার জন্য মানব গবেষকরা কার্যত যা অর্জন করতে পারে তার প্রান্তে একটি ব্যতিক্রমী জটিল পদক্ষেপের প্রয়োজন ছিল। "ফ্রন্টিয়ার এআই মডেলগুলি সেই বাধাকে উল্লেখযোগ্যভাবে হ্রাস করেছে, একটি দীর্ঘস্থায়ী ত্রুটিকে শোষণে পরিণত করেছে," কোম্পানিটি তার ব্লগ পোস্টে লিখেছে।
এনএসএ-এর সতর্কীকরণ কেন্দ্রগুলি আক্রমণকারীরা অ্যাক্সেস দিয়ে কী করতে পারে। ইন্টারনেট অবকাঠামো বিশেষজ্ঞ Michał Woźniak দ্য গার্ডিয়ানকে বলেছেন যে প্রতিকূল অভিনেতারা উন্মুক্ত সাইটগুলির "সম্পদ দখল" করতে পারে, যেহেতু প্রধান ওয়েবসাইটগুলি মূল্যবান কম্পিউটিং শক্তি, সার্ভার এবং আইপি ঠিকানাগুলি নিয়ন্ত্রণ করে। অপরাধী গোষ্ঠীগুলি আপোসকৃত সাইটের ভিতরে বাসা বেঁধে আক্রমণ শুরু করতে পারে যা তাদের কাছে ফিরে পাওয়া যায় না, যখন ক্রিপ্টো মাইনাররা বিনামূল্যে শক্তি-নিবিড় গণনা চালানোর জন্য সার্ভারগুলি হাইজ্যাক করতে পারে। অনেক ক্ষেত্রে, তিনি উল্লেখ করেছেন, সাইটের মালিকরাও সমঝোতার বিষয়ে সচেতন হবেন না।
অ্যালার্মের মধ্যে সতর্কতার নোট
সবাই বিশ্বাস করে না যে ক্ষতি হয়েছে। রায়ান অস্টিন, সাইবারসিকিউরিটি কোম্পানি ক্যালিফের একজন গবেষক যিনি ত্রুটিটি আবিষ্কারের মূল চাবিকাঠি ছিলেন, দ্য গার্ডিয়ানকে বলেছেন যে "এই মুহুর্তে এটি শোষণ বন্ধ বা ব্যাপকভাবে ছড়িয়ে পড়েছে বলে মনে হচ্ছে না।" ব্রিটিশ চেম্বার অফ কমার্স বলেছে যে এই ব্যাঘাতটি যুক্তরাজ্যের সংস্থাগুলির জন্য এখনও উল্লেখযোগ্য অসুবিধা সৃষ্টি করেনি।
প্রাক্তন GCHQ প্রধান স্যার ডেভিড ওমান্ড অবশ্য সতর্ক করেছিলেন যে রাশিয়া এবং চীন সহ রাষ্ট্রের প্রতিপক্ষরা প্রতিরক্ষা ব্যবস্থা সম্পূর্ণরূপে প্রতিষ্ঠিত হওয়ার আগে বাগটি কাজে লাগানোর চেষ্টা করতে পারে, এটি একটি অনুস্মারক যে প্রকাশ এবং সম্পূর্ণ প্রতিকারের মধ্যে উইন্ডোটি যখন ইন্টারনেট সবচেয়ে বেশি উন্মুক্ত হয়।
সাইট অপারেটরদের এখন কি করা উচিত
এখনও উন্মুক্ত সংস্থাগুলির জন্য, সংস্থাগুলির দিকনির্দেশনা সামঞ্জস্যপূর্ণ: অবিলম্বে PHP-এর সর্বশেষ প্যাচযুক্ত সংস্করণে আপগ্রেড করুন, প্যাচগুলি পরিষ্কারভাবে প্রয়োগ করা হয়েছে কিনা তা যাচাই করুন এবং যেখানে সিস্টেমগুলি সংশোধন করা, আলাদা করা বা প্রতিস্থাপন করার জন্য খুব পুরানো। NCSC-এর সতর্কতা যে কিছু লিগ্যাসি সিস্টেমগুলিকে মোটেও প্যাচ করা যায় না তা পরামর্শ দেয় যে এই দুর্বলতার দীর্ঘ লেজ বর্তমান জরুরি অবস্থার বাইরেও বজায় থাকবে।
এপিসোডটি এআই-সহায়তা আক্রমণাত্মক গবেষণার বিষয়ে একটি বিতর্কও নিষ্পত্তি করে। এক সপ্তাহ আগে যা তাত্ত্বিক ছিল তা এখন একটি লাইভ বৈশ্বিক ঘটনা: একটি এআই সিস্টেম বাগগুলিকে অস্ত্র দেওয়ার একটি উপায় খুঁজে পেয়েছে যা কয়েক দশক ধরে অব্যবহৃত ছিল, এবং ইন্টারনেটে প্রতিটি সরকার এখন তার সপ্তাহ পরিষ্কার করার জন্য ব্যয় করছে।
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
