php2shell: The Myth of a Secure Core & True phpvulnerability

অনেকেই বিশ্বাস করতেন যে আধুনিক পিএইচপি আর্কিটেকচার স্বয়ংক্রিয়ভাবে নিরাপদ। কিন্তু ২০২৬ সালের আগস্ট মাসে ক্যালিফ (Calif), ওপেনএআই (OpenAI) এবং উইজ (Wiz) এর কৃত্রিম বুদ্ধিমত্তা যখন মেমোরি দুর্বলতাগুলো প্রথম শনাক্ত করে, তখন সেই ধারণার অবসান ঘটে। KRIKYA-এর মতো প্ল্যাটফর্মগুলো যেখানে ব্যবহারকারীদের ডেটার নিরাপত্তার ওপর সর্বোচ্চ জোর দেয়, সেখানে এই নতুন php2shell দুর্বলতা পুরো ওয়েব ইকোসিস্টেমে একটি বড় ধরনের সতর্কতা তৈরি করেছে।

The php2shell Reality

পিএইচপি২শেল (php2shell) মূলত দুটি মারাত্মক মেমোরি দুর্বলতার সমন্বয়—CVE-2026-109618 এবং CVE-2026-109619। এই দুটি ত্রুটির জন্যই কমন ভালনারেবিলিটি স্কোরিং সিস্টেম বা CVSS v4.0 স্কোর ৯.২ (ক্রিটিক্যাল) নির্ধারণ করা হয়েছে, যা পুরো সিস্টেমকে অত্যন্ত ঝুঁকিপূর্ণ করে তোলে এবং হ্যাকারদের সহজে অনুপ্রবেশের সুযোগ দেয়।

হ্যাকাররা কোনো ধরনের প্রমাণীকরণ বা অথেন্টিকেশন ছাড়াই এই মেমোরি করাপশন দুর্বলতা কাজে লাগিয়ে রিমোট কোড এক্সিকিউশন করতে পারে। ২০২৬ সালের ২২ অক্টোবর ফিলিপাইনের CERT-PH একটি জরুরি সতর্কতা জারি করে, যদিও তখন পর্যন্ত কোনো সফল অনুপ্রবেশের নিশ্চিত প্রমাণ পাওয়া যায়নি। তবে এক্সপ্লয়েট-ডিবি (Exploit-DB) প্ল্যাটফর্মে ইতিমধ্যেই এর প্রুফ-অব-কনসেপ্ট (PoC) প্রকাশিত হয়েছে, যা নিরাপত্তা বিশেষজ্ঞদের উদ্বেগের কারণ হয়ে দাঁড়িয়েছে।

HTTP2Shell Risks

অন্যদিকে, এইচটিটিপি২শেল (HTTP2Shell) বা CVE-2026-111497 নামের আরেকটি দুর্বলতা ব্রোটলি (Brotli) কম্প্রেশন লাইব্রেরিতে উন্মোচিত হয়েছে। এটি বিশেষভাবে উইন্ডোজ সার্ভারে চালিত পিএইচপি এবং .NET সিস্টেমগুলোকে বড় ধরনের ঝুঁকির মুখে ফেলেছে এবং রিমোট কোড এক্সিকিউশনের পথ তৈরি করেছে।

মাইক্রোসফট .NET ৮.০ থেকে ১১ সংস্করণের জন্য প্যাচ প্রকাশ করেছে এবং পিএইচপি ডেভেলপাররাও ৮.২ থেকে ৮.৫ সংস্করণের উইন্ডোজ রিলিজ দিয়েছে, যা "-1" প্রত্যয় দিয়ে চিহ্নিত করা হয়েছে। যখন কোনো সিস্টেম বিশেষভাবে তৈরি করা ক্ষতিকারক সংকুচিত ডেটা প্রসেস করে, তখন এই বর্ডার-আউট-অফ-বাউন্ডস রাইট ত্রুটিটি ট্রিগার হয় এবং মেমোরি করাপশন ঘটে।

Patch Deployment

পিএইচপি ডেভেলপমেন্ট টিম ২০২৬ সালের ২১ অক্টোবর ১৪:০০ ইউটিসি (UTC) সময়ে অত্যন্ত দ্রুততার সাথে জরুরি নিরাপত্তা প্যাচ প্রকাশ করে। তা সত্ত্বেও, বর্তমান সময়ে বিশ্বজুড়ে প্রায় ৩ কোটি ২০ লাখ পিএইচপি সার্ভার এই আপডেটের বাইরে থেকে যায়, যা ডিজিটাল ইকোসিস্টেমে এক বিশাল নিরাপত্তাহীনতা তৈরি করে।

ক্লাউডফ্লেয়ার (Cloudflare) বিশ্বজুড়ে প্রাথমিক আক্রমণ চেষ্টার বিষয়টি শনাক্ত করেছে এবং মার্কিন সাইবার নিরাপত্তা সংস্থা সিআইএসএ (CISA) এটিকে তাদের কেভ (KEV) ক্যাটালগে অন্তর্ভুক্ত করেছে। এর মানে হলো, বাস্তব জগতেও এই দুর্বলতার শিকার হওয়ার ব্যাপক সম্ভাবনা রয়েছে। তাই সমস্ত এন্টারপ্রাইজ এবং ডেভেলপারদের তাদের বাহ্যিক সিস্টেমগুলো পরীক্ষা করে দ্রুত আপডেট করার জন্য কঠোর নির্দেশ দেওয়া হয়েছে।

FAQ

পিএইচপি২শেল এবং এর দীর্ঘস্থায়ী প্রভাব সম্পর্কে নিরাপত্তা গবেষক এবং সাধারণ ব্যবহারকারীদের মনে যে সাধারণ প্রশ্নগুলো বারবার উঠে আসে, তার কিছু গুরুত্বপূর্ণ উত্তর এখানে সহজভাবে তুলে ধরা হলো, যাতে আপনি এই ঝুঁকি সম্পর্কে আরও পরিষ্কার ধারণা পেতে পারেন।