ড. এম মেসবাহউদ্দিন সরকার: কৃত্রিম বুদ্ধিমত্তা (এআই) বা লার্জ ল্যাঙ্গুয়েজ মডেল (এলএলএম) ব্যবহার করে সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ (Calif) এবং উইজ (Wiz) পিএইচপি (পিএইচপি) কোডের ভেতর এক দশকেরও বেশি সময় ধরে লুকিয়ে থাকা দুটি অত্যন্ত গুরুতর ত্রুটি শনাক্ত করেছে। ত্রুটি দুটো ধরা পড়ার পর বিশ্বজুড়ে সাইবার নিরাপত্তা, ব্যাংকিং ও আর্থিক খাতে তীব্র সংকট তৈরি করেছে। এ আবিষ্কারের ঘটনাটিকে সাইবার নিরাপত্তার ইতিহাসে একটি বড় মাইলফলক বা ইনফ্লেকশন পয়েন্ট হিসেবে দেখা হচ্ছে, কারণ যা খুঁজে বের করতে মানুষের মাসের পর মাস সময় লাগত তা এআই এজেন্টরা মাত্র কয়েক সপ্তাহে করে দেখিয়েছে। ত্রুটি দুটি CVE-2026-109618 এবং CVE-2026-109619 নামে পরিচিত, যেগুলোকে নিরাপত্তা গবেষকরা PHP2Shell নাম দিয়েছেন। ক্যালিফ ও উইজ যেভাবে এ ত্রুটিগুলো ধরেছে, তার মূল প্রক্রিয়াটি নিচে দেওয়া হলো: ১. এআই মডেলের সমন্বিত ব্যবহার: গবেষকরা প্রথাগত সফটওয়্যার টেস্টিং পদ্ধতির বদলে অত্যাধুনিক ফ্রন্টিয়ার এআই মডেল ব্যবহার করেন। ক্যালিফ (Calif): ওপেনএআইয়ের প্যাচ দ্য প্ল্যানেট উদ্যোগের অংশ হিসেবে তারা GPT-5.6 Sol মডেল ব্যবহার করে এই ত্রুটি খুঁজে পায়। উইজ (Wiz): তাদের নিজস্ব এআই টুল উইজ অ্যাটলাসের (Wiz Atlas)- পাশাপাশি গুগলের Gemini 4 Argon এবং ওপেনএআইয়ের GPT-5.6 Sol মডেলের যৌথ সহায়তা নেয়। ২. পুরোনো বাগ ও মানুষের বুদ্ধিমত্তার সূত্র (Hypothesis): ক্যালিফের গবেষক রায়ান অস্টিন পিএইচপির ২০০৪ সালের একটি পুরোনো নিরাপত্তা ত্রুটি সম্পর্কে জানতেন। তিনি একটি ধারণা বা হাইপোথিসিস তৈরি করেন যে পিএইচপি কোডের ঠিক ওই অংশেই হয়তো আরও অনুরূপ বাগ থাকতে পারে। তিনি এআই এজেন্টকে পিএইচপির কোর মেমরি ম্যানেজমেন্টের নির্দিষ্ট অংশে অনুসন্ধান চালাতে নির্দেশ দেন। ৩. যেভাবে ত্রুটিটি কাজ করে (Technical Flaw): পিএইচপির কোর মেমরি ম্যানেজমেন্ট এবং এরর হ্যান্ডলিং প্রক্রিয়ার ভেতরেই ত্রুটিটি লুকিয়ে ছিল। অ্যারো এআই এজেন্টরা নিখুঁতভাবে ধরে ফেলে যে যখন কোনো পিএইচপি স্ক্রিপ্টে ‘আউট অব মেমরি’ বা কোনো বড় ধরনের ফাটল (Fatal Error) তৈরি হয় তখন পিএইচপি তার প্রসেস বন্ধ করার সময় কিছু মেমরি ডেটা বা পয়েন্টার ফেলে রেখে যায় (Dangling Pointers/State)। এআই এজেন্টরা প্রমাণ করে দেখায় যে হ্যাকাররা চাইলে দূর থেকে কোনো লগইন ছাড়াই (Unauthenticated) এ মেমরি স্টেটগুলোকে বিকৃত করে সার্ভারে সরাসরি নিজস্ব কোড বা শেলকোড রান করাতে পারে (Remote Code Execution - RCE)। ৪. এআইয়ের গতি ও কোড চেইনিং: এআই এজেন্টরা মাত্র কয়েক সপ্তাহের মধ্যে ওয়ার্ডপ্রেস এবং দ্রুপালের (Drupal) মতো জনপ্রিয় সিএমএস প্ল্যাটফর্মের বিরুদ্ধে সফলভাবে এই ত্রুটির কার্যকারিতা প্রমাণ করেছে যা হ্যাকারদের পক্ষে ছিল যথেষ্ট জটিল ও সময়সাপেক্ষ।
এ আবিষ্কারের পর পিএইচপি ফাউন্ডেশন জরুরি ভিত্তিতে নিরাপত্তা প্যাচ রিলিজ করে ও বিশ্বজুড়ে কোটি কোটি ওয়েবসাইট সুরক্ষার জন্য তা দ্রুত আপডেট করার নির্দেশনা দিয়েছে। পাশাপাশি পিএইচপির বিভিন্ন নিরাপত্তা ত্রুটি এবং ভবিষ্যতের সাইবার হামলা থেকে সুরক্ষায় ওয়েব ডেভেলপমেন্ট এবং নিরাপত্তা জগতে ব্যাপক পরিবর্তন ও আধুনিক ব্যবস্থা নিয়েছে। যেমন: ১. এসকিউএল ইনজেকশন (SQL Injection - SQLi): আক্রমণকারীরা ইনপুট ফিল্ডের মাধ্যমে ক্ষতিকর এসকিউএল কোড প্রবেশ করিয়ে ডাটাবেজের নিয়ন্ত্রণ নিয়ে নেয়। ২. ক্রস-সাইট স্ক্রিপ্টিং (Cross-Site Scripting - XSS): ওয়েবসাইটের ফর্মে ক্ষতিকর জাভাস্ক্রিপ্ট কোড ইনজেক্ট করে ব্যবহারকারীদের সেশন হাইজ্যাক বা ব্রাউজার ডেটা চুরি করা হয়। ৩. রিমোট কোড এক্সিকিউশন (Remote Code Execution - RCE): পিএইচপির দুর্বল ফাংশন বা প্লাগইনের সুবিধা নিয়ে হ্যাকাররা সার্ভারে সরাসরি ক্ষতিকর কোড রান করতে পারে। ৪. ফাইল ইনক্লুশন (LFI/RFI): লোকাল বা রিমোট ফাইল ইনক্লুশন ত্রুটির কারণে হ্যাকাররা সার্ভারের ভেতরের সংবেদনশীল ফাইল (যেমন: .env বা কনফিগারেশন ফাইল) দেখে ফেলতে পারে। ৫. অনিরাপদ ডিসিরিয়ালাইজেশন (Insecure Deserialization): অবজেক্ট বা ডেটা রিড করার সময় ত্রুটি থাকলে হ্যাকাররা সার্ভারের স্বাভাবিক কার্যপ্রক্রিয়া ব্যাহত করতে পারে। এ পরিপ্রেক্ষিতে ভবিষ্যতের জটিল সাইবার হামলা থেকে বাঁচতে বর্তমানে পিএইচপি ইকোসিস্টেম ও আধুনিক ক্লাউড অবকাঠামোতে নিচের ব্যবস্থাগুলো বাধ্যতামূলক করা হচ্ছে: ১. আধুনিক পিএইচপি সংস্করণ ও ইঞ্জিন স্তরের পরিবর্তন (PHP 8.x+): টাইপ সেফটি (Strict Typing): আধুনিক পিএইচপি সংস্করণে (PHP 8.x) টাইপ এনফোর্সমেন্ট অনেক শক্তিশালী করা হয়েছে যা কোডের লজিক্যাল ত্রুটি ও রিমোট কোড এক্সিকিউশনের ঝুঁকি কমায়। বিপজ্জনক ফাংশন বাদ দেওয়া: পিএইচপির পুরোনো এবং অনিরাপদ ফাংশনগুলো ব্যবহার না করার জন্য কঠোর নির্দেশনা দেওয়া হচ্ছে এবং অনেক হোস্টিংয়ে এগুলো ডিফল্টভাবে ব্লক থাকে। ২. আধুনিক ফ্রেমওয়ার্কের ব্যবহার (Framework-Level Security): বর্তমান যুগে রড বা কোর পিএইচপি (Raw PHP) দিয়ে সরাসরি সাইট না বানিয়ে Laravel বা Symfony-এর মতো আধুনিক ফ্রেমওয়ার্ক ব্যবহার করা হচ্ছে। এ ফ্রেমওয়ার্কগুলোয় SQL ইনজেকশন প্রতিরোধের জন্য স্বয়ংক্রিয়ভাবে ORM (Object-Relational Mapping) ও XSS সুরক্ষার জন্য Blade/Twig টেমপ্লেট ইঞ্জিন ব্যবহার করা হয় যা ক্ষতিকর ইনপুটকে স্বয়ংক্রিয়ভাবে ফিল্টার করে। ৩. ডেভসেকঅপ্স এবং অটোমেটেড সিকিউরিটি স্ক্যানিং (DevSecOps): SAST ও DAST টুল: কোড লেখার সময়ই সুরক্ষার ঘাটতি ধরার জন্য ডেভেলপমেন্ট পাইপলাইনে স্ট্যাটিক এবং ডাইনামিক অ্যাপ্লিকেশন সিকিউরিটি টেস্টিং টুল (যেমন: SonarQube, Snyk) যুক্ত করা হচ্ছে। ডিপেন্ডেন্সি চেকিং: পিএইচপির বিভিন্ন প্যাকেজ ম্যানেজার (Composer) ব্যবহার করার সময় ক্ষতিকর প্লাগইন বা লাইব্রেরি শনাক্ত করতে স্বয়ংক্রিয় কমান্ড (যেমন: composer audit) ব্যবহার করা হচ্ছে। ৪. ক্লাউড ও সার্ভার স্তরের উন্নত নিরাপত্তা (Cloud & Server Architecture): WAF (Web Application Firewall): ক্লাউডফ্লেয়ার (Cloudflare) বা এডব্লিউএস (AWS)-এর মতো আধুনিক ডব্লিউএএফ ব্যবহার করে পিএইচপি সার্ভারে আসার আগেই ক্ষতিকর ট্রাফিক ও আক্রমণ (যেমন: DDoS বা প্রচলিত বট অ্যাটাক) ফিল্টার করে দেওয়া হচ্ছে। কনটেইনারাইজেশন (Docker/Kubernetes): পিএইচপি অ্যাপ্লিকেশনগুলোকে ডকার কনটেইনারে আইসোলেটেড বা আলাদা করে রাখা হয়। ফলে কোনো কারণে একটি সাইট হ্যাক হলেও মূল সার্ভার বা অন্য ডেটা সুরক্ষিত থাকে। ৫. শূন্য-বিশ্বাস বা জিরো ট্রাস্ট আর্কিটেকচার (Zero Trust): কাউকে বিশ্বাস করো না, সবসময় যাচাই করো এই নীতির ওপর ভিত্তি করে পিএইচপি অ্যাপ্লিকেশনের প্রতিটা রিকোয়েস্ট, এপিআই টোকেন এবং ইউজার পারমিশন কঠোরভাবে পর্যবেক্ষণ করা হচ্ছে। মাল্টি-ফ্যাক্টর অথেন্টিকেশন (MFA) এবং কঠোর সেশন ম্যানেজমেন্ট এখন বাধ্যতামূলক করা হচ্ছে।
উল্লেখ্য, পিএইচপি মূলত একটি সার্ভার-সাইড স্ক্রিপ্টিং ভাষা অর্থাৎ ওয়েবসাইটের সার্ভারে বিভিন্ন নির্দেশনা কার্যকর করে ব্যবহারকারীর জন্য প্রয়োজনীয় তথ্য ও সেবা প্রস্তুত করে। যেমন: কোনো ওয়েবসাইটে ব্যবহারকারীর নিবন্ধন, লগইন, তথ্য অনুসন্ধান, অনলাইন কেনাকাটা কিংবা ডেটাবেজ থেকে তথ্য সংগ্রহের কাজে পিএইচপি ব্যবহার করা যায়। ১৯৯০-এর দশকে যাত্রা শুরু করা এই ভাষা সহজে শেখা, তুলনামূলক কম ব্যয়ে ওয়েবসাইট তৈরি, বিভিন্ন ডেটাবেজের সঙ্গে সংযোগ এবং প্রচলিত ওয়েব সার্ভারের সঙ্গে সামঞ্জস্যের কারণে দ্রুত জনপ্রিয়তা অর্জন করে। এটি ওপেন-সোর্স, শেখা সহজ এবং ইন্টারনেটের প্রায় ৭০ থেকে ৮০ শতাংশ ওয়েবসাইটে এটি ব্যাকএন্ড বা সার্ভার-সাইড ভাষা হিসেবে ব্যবহৃত হয়। তবে পিএইচপি জনপ্রিয় হওয়ার অন্য কারণগুলো হলো: ১. ওয়ার্ডপ্রেস ও অন্যান্য সিএমএস: বিশ্বের প্রায় ৪০ শতাংশের বেশি ওয়েবসাইট এবং জনপ্রিয় কন্টেন্ট ম্যানেজমেন্ট সিস্টেম যেমন ওয়ার্ডপ্রেস, জুমলা এবং দ্রুপাল পিএইচপির ওপর ভিত্তি করে তৈরি। ২. সহজ শেখার প্রক্রিয়া: জাভা বা অন্যান্য জটিল ভাষার তুলনায় পিএইচপির সিনট্যাক্স অনেক সহজ, ফলে নতুন প্রোগ্রামাররা খুব দ্রুত এটি শিখে কাজ শুরু করতে পারেন। ৩. জনপ্রিয় ফ্রেমওয়ার্ক: লারাভেল (Laravel) এবং সিমফনির (Symfony) মতো আধুনিক ও শক্তিশালী ফ্রেমওয়ার্ক থাকায় বড় বড় ওয়েব অ্যাপ্লিকেশন খুব দ্রুত এবং নিরাপদে তৈরি করা যায়। ৪. ওপেন-সোর্স ও সাশ্রয়ী হোস্টিং: পিএইচপি সম্পূর্ণ বিনামূল্যে ব্যবহার করা যায় এবং এটি প্রায় সব ধরনের শেয়ার্ড বা লো-কস্ট হোস্টিং সার্ভারে খুব সহজে সাপোর্ট করে যা ব্যবসায়িক খরচ কমিয়ে আনে। ৫. বিশাল কমিউনিটি ও সাপোর্ট: তিন দশকের বেশি সময় ধরে টিকে থাকায় অনলাইনে এর লক্ষাধিক ডেভেলপার এবং হাজার হাজার রেডিমেড সলিউশন বা প্লাগইন রয়েছে যা যেকোনো সমস্যা সমাধানে দারুণ সাহায্য করে। ৬. উন্নত পারফরম্যান্স (PHP 8.x): পিএইচপির সর্বশেষ সংস্করণগুলোতে (যেমন PHP 8.x) বিশাল উন্নয়ন এনেছে ফলে এটি আগের তুলনায় অনেক বেশি দ্রুত, কার্যকর এবং নিরাপদ।
অধ্যাপক ও আইটি গবেষক, ইনস্টিটিউট অব ইনফরমেশন টেকনোলজি (আইআইটি), জাহাঙ্গীরনগর বিশ্ববিদ্যালয়
