সিকিউরিটি ফার্ম উইজ রিসার্চ 21 অক্টোবর, 2026-এ মূল PHP ইঞ্জিনে জটিল দুর্বলতার একটি সেট প্রকাশ করেছে, সতর্ক করেছে যে ত্রুটিগুলি — সম্মিলিতভাবে PHP2Shell নামে ডাকা হয়েছে — অননুমোদিত রিমোট কোড এক্সিকিউশন এবং হার্টব্লিড-স্টাইল মেমরি ডিসক্লোজার সক্ষম করে সফ্টওয়্যারের অনুমান 70 শতাংশ। পিএইচপি প্রকল্পটি একই দিনে প্যাচগুলি প্রকাশ করেছে, এবং উইজ ওয়েবের বিশাল ইনস্টল বেস জুড়ে অবিলম্বে আপডেটের আহ্বান জানাচ্ছে।

পিএইচপি হল বেশিরভাগ ইন্টারনেটের মেরুদণ্ড: এটি ওয়ার্ডপ্রেস, জুমলা, ড্রুপাল এবং মিডিয়াউইকিকে ক্ষমতা দেয়, যে সফ্টওয়্যারটি উইকিপিডিয়া চালায়। গুরুত্বপূর্ণভাবে, নতুন প্রকাশ করা বাগগুলি PHP-এর মূল ইঞ্জিনে বাস করে, এটির উপরে নির্মিত কোনও অ্যাপ্লিকেশনে নয়, যার অর্থ সাইটগুলি প্রকাশ করা যেতে পারে এমনকি তাদের নিজস্ব অ্যাপ্লিকেশন কোড সুরক্ষিত থাকলেও৷ For more context on this story, see our ongoing AI industry coverage.

দুর্বলতাগুলি কী

গবেষক Sagi Tzadik, Shir Tamari, Nir Ohfeld এবং Tomer Schwartz-এর Wiz-এর কারিগরি লেখার মতে, সমস্ত প্রকাশ করা বাগগুলিই মেমরি-নিরাপত্তা সংক্রান্ত সমস্যা যার মূলে রয়েছে পিএইচপি কীভাবে অনুরোধ প্রক্রিয়াকরণের সময় মারাত্মক ত্রুটিগুলি পরিচালনা করে — বিশেষত মেমরির বাইরের ত্রুটি৷ একটি ক্র্যাশ করা অনুরোধ দূষিত অভ্যন্তরীণ পিএইচপি স্থিতিকে পিছনে ফেলে যেতে পারে এবং পরবর্তীতে একটি অনুরোধ বা কর্মী যেটি সেই পুরানো অবস্থাটি পুনরায় ব্যবহার করে তা মেমরি প্রকাশ বা মেমরি দুর্নীতিকে ট্রিগার করতে পারে।

ফলাফলগুলি CVSS 9.2 এর সর্বাধিক তীব্রতার সাথে দুটি CVE-এর অধীনে গোষ্ঠীভুক্ত করা হয়েছিল:

  • CVE-2026-109618 — একটি আপলোড-প্রগতি আনসিরিয়ালাইজার ব্যবহার-পর-মুক্ত যা একজন আক্রমণকারী রিমোট প্রসেস-মেমরি ডিসক্লোজার এবং প্রদর্শিত চেইনে, সম্পূর্ণ রিমোট কোড এক্সিকিউশনের জন্য ব্যবহার করতে পারে। উইজ ওয়ার্ডপ্রেস, ড্রুপাল এবং জুমলায় পিএইচপি কর্মী মেমরি এবং প্রাক-প্রমাণিকরণ RCE-এর অননুমোদিত প্রকাশ প্রদর্শন করেছে।
  • CVE-2026-109619 — একটি মারাত্মক-ত্রুটি ব্যাকট্রেস ব্যবহার-পরে-মুক্ত একটি OPcache টাইপ বিভ্রান্তির সাথে মিলিত, এছাড়াও ড্রুপাল এবং ওয়ার্ডপ্রেসে প্রাক-প্রমাণকরণ রিমোট কোড এক্সিকিউশন প্রদানের জন্য প্রদর্শিত হয়েছে।

আক্রমণকারীরা যে মেমরি পড়তে পারে তাতে পাসওয়ার্ড, প্রমাণীকরণ টোকেন, API কী এবং সার্টিফিকেট অন্যান্য অনুরোধ বা সার্ভারের সাথে থাকতে পারে, উইজ বলেছেন। গত দশকে প্রকাশিত প্রতিটি পিএইচপি সংস্করণ — পিএইচপি 5.4-তে ফিরে যাওয়া — অন্তত একটি দুর্বলতার দ্বারা প্রভাবিত হয় এবং কোম্পানি বলে যে এই র্যাঙ্কগুলি PHP-তে পাওয়া সবচেয়ে গুরুতর ত্রুটিগুলির মধ্যে রয়েছে৷

যেখানে AI আসে

উইজ-এর রিপোর্টে সবচেয়ে ফলপ্রসূ দাবিটি মোটেও পিএইচপি সম্পর্কে নয় - এটি উন্নয়নকে কাজে লাগানোর জন্য ফ্রন্টিয়ার এআই মডেলগুলি কী করেছে সে সম্পর্কে।

উইজ লিখেছেন, অন্তর্নিহিত ত্রুটিগুলি কয়েক দশক ধরে উপস্থিত ছিল, কিন্তু শোষণের প্রমাণ করার জন্য "একটি ব্যতিক্রমী জটিল পদক্ষেপের শৃঙ্খল প্রয়োজন, যা মানব গবেষকরা ব্যবহারিকভাবে অর্জন করতে পারে।" শোষণকে একাধিক ত্রুটি চেইন করতে হয়েছিল এবং বারবার পরীক্ষা এবং ডিবাগিংয়ের মাধ্যমে প্রতিটি লক্ষ্যের মেমরি লেআউটের সাথে মানিয়ে নিতে হয়েছিল।

ফ্রন্টিয়ার এআই মডেলগুলি, সংস্থাটি বলেছে, সেই বাধাকে উল্লেখযোগ্যভাবে হ্রাস করেছে - "দীর্ঘদিনের ত্রুটিকে একটি শোষণে পরিণত করা" - এবং উইজ-এর দলকে সপ্তাহের চেয়ে ঘন্টার পরিবর্তে একাধিক অ্যাপ্লিকেশন জুড়ে কাজের শোষণগুলি বিকাশ ও মানিয়ে নিতে সক্ষম করেছে।

"এই কাজের জন্য প্রয়োজনীয় সময় এবং দক্ষতা কমে যাওয়ার সাথে সাথে, জটিলতা আর একটি অর্থপূর্ণ বাধা প্রদান করতে পারে না, আমরা কীভাবে অনুশীলনে দুর্বল তা সংজ্ঞায়িত করি তা পরিবর্তন করে," গবেষকরা লিখেছেন।

এআই যুগে একটি টার্নিং পয়েন্ট?

Wiz স্পষ্টভাবে PHP2Shellকে ওয়েব নিরাপত্তায় দুটি আগের ওয়াটারশেড মুহূর্তগুলির সাথে ফ্রেম করে: 2014 সালে Heartbleed, যা ইন্টারনেটকে সুরক্ষিত করা শেয়ার্ড অবকাঠামোর ভঙ্গুরতা প্রকাশ করে এবং 2021 সালে Log4Shell, যা প্রকাশ করে যে কীভাবে গভীরভাবে এম্বেড করা সফ্টওয়্যার নির্ভরতা ব্যাপক এক্সপোজার তৈরি করে। কোম্পানী যুক্তি দেয় যে PHP2Shell একটি অনুরূপ টার্নিং পয়েন্ট চিহ্নিত করতে পারে - এই সময় AI কিভাবে দীর্ঘ পরিচিত দুর্বলতার ব্যবহারিক শোষণের পরিবর্তন করে তা ব্যাখ্যা করে।

যে ফ্রেমিং ব্যাপার পিএইচপি অতিক্রম. তাত্ত্বিক দুর্বলতাগুলি যেগুলি নিরাপদে নাগালের বাইরে ছিল কারণ সেগুলিকে শোষণ করা খুব কঠিন, খুব ধীর বা খুব বিশেষায়িত ছিল এখন AI টুলিং দিয়ে সজ্জিত ভাল রিসোর্সড আক্রমণকারীদের নাগালের মধ্যে থাকতে পারে - প্রতিরক্ষা বাজেট, প্যাচ ক্যাডেনস এবং সফ্টওয়্যার শিল্প জুড়ে প্রকাশের সময়রেখার জন্য সুস্পষ্ট প্রভাব সহ একটি পরিবর্তন৷

একটি সমন্বিত ক্রস-ইন্ডাস্ট্রি ফিক্স

প্রকাশ সমন্বিত ছিল. উইজ পিএইচপি টিম এবং ওপেনএআইকে তাদের আবিষ্কার, সমন্বয় এবং প্যাচ যাচাইকরণের কাজের জন্য ধন্যবাদ জানিয়েছেন, উল্লেখ করেছেন যে ওপেনএআই এবং পিএইচপি উভয়ই দুর্বলতার ইতিহাস এবং প্রকাশ প্রক্রিয়ার নিজস্ব প্রযুক্তিগত লেখা প্রকাশ করেছে।

একটি ক্রস-ইন্ডাস্ট্রি গ্রুপ — Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft এবং Vercel — এমন গ্রাহকদের জন্য নির্দেশিকা এবং আউট-অফ-দ্য-বক্স প্রশমন প্রস্তুত করেছে যারা অবিলম্বে প্যাচ করতে পারে না। ক্লাউডফ্লেয়ার পৃথকভাবে 21 অক্টোবর ঘোষণা করেছে যে এটি তার গ্রাহকদের জন্য PHP দুর্বলতার বিরুদ্ধে WAF সুরক্ষা স্থাপন করেছে।

সাইটের মালিকদের কি করা উচিত

Wiz থেকে পরামর্শ ভোঁতা: অবিলম্বে প্যাচ. PHP প্রকল্পটি 21 অক্টোবর, 2026-এ মেমরি-নিরাপত্তার দুর্বলতার জন্য ফিক্স প্রকাশ করেছে এবং প্রতিটি সমর্থিত PHP স্থাপনা যত তাড়াতাড়ি সম্ভব আপডেট করা উচিত।

যে সংস্থাগুলি এখনই প্যাচ করতে পারে না তাদের সিডিএন, হোস্টিং বা ডাব্লুএএফ প্রদানকারীদের দ্বারা প্রকাশিত প্রশমনগুলি প্রয়োগ করা উচিত, যার মধ্যে কয়েকটি প্রথম দিনে শোষণ শৃঙ্খলকে লক্ষ্য করে প্রেরিত নিয়ম। ওয়ার্ডপ্রেস, ড্রুপাল এবং জুমলা ফ্লিটগুলির প্রশাসকদের এটিকে একটি অগ্রাধিকার প্যাচ চক্র হিসাবে বিবেচনা করা উচিত: উইজ তিনটি প্ল্যাটফর্মের বিরুদ্ধে প্রাক-প্রমাণকরণ রিমোট কোড এক্সিকিউশন প্রদর্শন করেছে এবং তাদের উপরের অ্যাপ্লিকেশনগুলি যতই ভালভাবে রক্ষণাবেক্ষণ করা হোক না কেন দুর্বল কোড পাথগুলি বিদ্যমান।

আরও গভীর পাঠ হতে পারে যেটি উইজ নিজেই আঁকেন: যখন AI কয়েক মাসের কাজে প্রকৌশলকে ঘন্টায় সংকুচিত করতে পারে, তখন শিল্পের "ব্যবহারিকভাবে শোষণযোগ্য" এর কাজের সংজ্ঞা — এবং এর সাথে, দায়ী প্যাচিং টাইমলাইনের অর্থ — সবেমাত্র পরিবর্তিত হয়েছে।

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →