php2shell: The Real Threat Behind the phpvulnerability Hype

পিএইচপি ২ শেল (php2shell) নিয়ে প্রযুক্তি দুনিয়ায় এখন চরম উদ্বেগ কাজ করছে। অনেকেই মনে করছেন এটি কেবল আরেকটি সাধারণ phpvulnerability, যা একটি ছোট আপডেটের মাধ্যমেই ঠিক হয়ে যাবে, কিন্তু বাস্তব চিত্র সম্পূর্ণ ভিন্ন। Sonabet এর সাইবার নিরাপত্তা পর্যবেক্ষকদের মতে, এটি এমন একটি গুরুতর ত্রুটি যা হ্যাকারদের কোনো ধরনের যাচাইকরণ ছাড়াই সিস্টেমের পুরো নিয়ন্ত্রণ নেওয়ার সুযোগ করে দেয়। সিভিএসএস (CVSS) স্কোর ৯.২ পাওয়া এই দুর্বলতাটি শুধুমাত্র একটি সফটওয়্যারের ত্রুটি নয়, বরং এটি পুরো ইন্টারনেট কাঠামোর জন্য এক নীরব হুমকি।

The Core php2shell Vulnerabilities

এই সংকটের মূলে রয়েছে মূলত দুটি বড় ত্রুটি: CVE-2026-109618 এবং CVE-2026-109619, যাদের উভয়েরই সিভিএসএস সংস্করণ ৪.০ (CVSS v4.0) রেটিং ৯.২ নির্ধারণ করা হয়েছে। ২০২৬ সালের ১ আগস্ট ক্যালিফ (Calif), ওপেনএআই (OpenAI) এবং উইজ (Wiz) যৌথভাবে এআই প্রযুক্তির সহায়তায় এই মারাত্মক ত্রুটি প্রথম শনাক্ত করে। পরবর্তীতে ১৭ অক্টোবর আমাজন থ্রেট ইন্টেলিজেন্স তাদের ম্যাডপট (MadPot) প্ল্যাটফর্মে এর অপব্যবহারের প্রাথমিক প্রচেষ্টা দেখতে পায়। এই ত্রুটি কাজে লাগিয়ে হ্যাকাররা মেমোরি দুর্নীতির সুযোগ নিয়ে সরাসরি দূরবর্তী কোড এক্সিকিউশন বা আরসিই (RCE) চালাতে সক্ষম।

Global Infrastructure Under Attack

বিশ্বজুড়ে বর্তমানে প্রায় ৩ কোটি ২০ লাখ পিএইচপি সার্ভার উন্মুক্ত অবস্থায় রয়েছে, যা বড় ধরনের ঝুঁকির কারণ। ২০ অক্টোবর এই ত্রুটির খবর প্রকাশ্যে আসার পর, পরিস্থিতি দ্রুত খারাপ হতে শুরু করে। ২১ অক্টোবর পিএইচপি প্রজেক্ট তড়িঘড়ি করে নিরাপত্তা প্যাচ হিসেবে পিএইচপি ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ এবং ৮.২.৩৫ সংস্করণ প্রকাশ করে। পরিস্থিতি এতটাই ভয়াবহ ছিল যে, ওইদিনই সোফোস (Sophos) তাদের MyUTM পোর্টালটি সাময়িকভাবে অফলাইনে নিয়ে যায় এবং পরের দিন নিজস্ব ফায়ারওয়াল গ্রাহকদের জন্য বিশেষ আইপিএস (IPS) সিগনেচার চালু করে। পাশাপাশি, ফিলিপাইনের CERT-PH এবং কিউএনএপি (QNAP) সিস্টেমস জরুরি সাইবার নিরাপত্তা সতর্কতা ও নির্দেশনা জারি করে। ২৮ অক্টোবর পালো অল্টো নেটওয়ার্কস নিশ্চিত করে যে, ইন্টারনেটে উন্মুক্ত থাকা ব্যবস্থাপনা ইন্টারফেসগুলোতে এই দুর্বলতা কাজে লাগিয়ে সরাসরি আক্রমণ চালানো হচ্ছে।

Beyond PHP: The HTTP2Shell Connection

পরিস্থিতি আরও জটিল আকার ধারণ করে যখন এর সাথে 'HTTP2Shell' (CVE-2026-111497) যুক্ত হয়। এটি মূলত গুগল এর ব্রটলি (Brotli) কম্প্রেশন লাইব্রেরির একটি ত্রুটি। এই দুর্বলতা প্রথমে নোড জেএস (Node.js) ও পাইথন (Python) কে প্রভাবিত করলেও, সম্প্রতি তা ডটনেট (.NET) এবং পিএইচপি উইন্ডোজ (PHP Windows) সংস্করণে ছড়িয়ে পড়েছে। ফলস্বরূপ, মাইক্রোসফট তাদের ডটনেট ৮.০ থেকে ১১ সংস্করণের জন্য জরুরি আপডেট প্রকাশ করতে বাধ্য হয়েছে। পিএইচপি কর্তৃপক্ষও উইন্ডোজের জন্য তাদের সংস্করণগুলো নতুন করে প্রকাশ করে ব্রটলি উপাদানটি প্রতিস্থাপন করেছে।