php2shell: Why Safe Servers Are Actually Vulnerable

অনেকেই মনে করেন সার্ভারের সাধারণ ফায়ারওয়াল সব ধরনের আক্রমণ থেকে তাদের সুরক্ষিত রাখে, কিন্তু php2shell এর সাম্প্রতিক ঘটনা এই ভ্রান্ত ধারণাকে পুরোপুরি ভেঙে দিয়েছে। Jita365-এর মতো প্ল্যাটফর্মগুলোতে আমরা প্রতিনিয়ত নিরাপত্তা ব্যবস্থার আধুনিকায়নের উপর জোর দিই, কারণ ডিজিটাল জগতে নীরব হুমকিগুলোই সবচেয়ে ভয়ংকর রূপ ধারণ করতে পারে। বাহ্যিক নিরাপত্তা যতই মজবুত হোক না কেন, অভ্যন্তরীণ সিস্টেমের দুর্বলতা পুরো নেটওয়ার্ককে ঝুঁকির মুখে ফেলতে পারে।

২০২৬ সালের ১ আগস্ট তারিখে Calif, OpenAI এবং Wiz কৃত্রিম বুদ্ধিমত্তার সহায়তায় প্রথম এই গুরুতর ত্রুটিগুলো খুঁজে পায়। এর ঠিক কয়েক মাস পর, ২০ অক্টোবর পিএইচপি আনুষ্ঠানিকভাবে এই দুর্বলতার কথা স্বীকার করে। মজার ব্যাপার হলো, ২২ অক্টোবর বিস্তারিত তথ্য প্রকাশের কথা থাকলেও, পরিস্থিতি দ্রুত বদলাতে থাকে এবং ২১ অক্টোবর ইউটিসি ১৪:০০ টায় জরুরি নিরাপত্তা প্যাচ প্রকাশের সময়সূচি নির্ধারণ করা হয়।

অফিসিয়াল ঘোষণার আগেই হ্যাকাররা তৎপর হয়ে ওঠে। ১৭ অক্টোবর অ্যামাজন থ্রেট ইন্টেলিজেন্স (Amazon Threat Intelligence) তাদের MadPot টেলিমেট্রিতে প্রথম এই আক্রমণের চেষ্টা শনাক্ত করে। এটি নিশ্চিত করে যে, আক্রমণকারীরা বাস্তবেই এই দুর্বলতা কাজে লাগাচ্ছে, যা পরবর্তীতে CISA-এর নজরেও আসে এবং তারা এটিকে পরিচিত দুর্বলতার তালিকায় অন্তর্ভুক্ত করে।

Unpacking the php2shell Vulnerability

এই গুরুতর phpvulnerability মূলত দুটি প্রধান দুর্বলতার সমষ্টি—CVE-2026-109618 এবং CVE-2026-109619। এদের উভয়েরই CVSS ৪.০ স্কোর হলো ৯.২, যা অত্যন্ত ভয়াবহ। এটি এত বেশি ঝুঁকিপূর্ণ হওয়ার কারণ হলো, আক্রমণকারী কোনো ধরনের পরিচয় যাচাই ছাড়াই মেমোরি করাপশনের মাধ্যমে সার্ভারে ক্ষতিকর কোড চালাতে পারে। পিএইচপির ৫.৪ থেকে শুরু করে ৮.৫ পর্যন্ত প্রায় সব সংস্করণই এই নিরাপত্তা ত্রুটির শিকার হয়েছে।

শুধু পিএইচপি নয়, এর সাথে যুক্ত হয়েছে Google-এর তৈরি Brotli ডিকোডারের একটি দুর্বলতা, যাকে HTTP2Shell (CVE-2026-111497) বলা হচ্ছে। এটি মূলত .NET এবং পিএইচপি উইন্ডোজ ভার্সনগুলোকে প্রভাবিত করেছে। ফলস্বরূপ, মাইক্রোসফট তাদের .NET ৮.০ থেকে ১১ সংস্করণের জন্য জরুরি আপডেট প্রকাশ করে এবং পিএইচপি কর্তৃপক্ষ ২১ অক্টোবর 8.2.35, 8.3.36, 8.4.27 এবং 8.5.12 সংস্করণের প্যাচ অবমুক্ত করে।

বিশ্বজুড়ে এখনো প্রায় ৩ কোটি ২০ লাখ পিএইচপি সার্ভিস আপডেট করা হয়নি, যা এক বিশাল হুমকির কারণ। অ্যাপ্লিকেশনগুলোতে স্বয়ংক্রিয় কমপ্রেশন চালু থাকলে এই ঝুঁকি আরও বহুগুণ বেড়ে যায়। তাই, দ্রুততম সময়ের মধ্যে হালনাগাদ করা এবং নেটওয়ার্কের বাইরের দিকটা যাচাই করা এখন সময়ের সবচেয়ে বড় দাবি।