ভয়ংকর অক্টোবর: ২৩ দিনে পিএইচপি থেকে সিসকো—সফটওয়্যার নিরাপত্তার একের পর এক বিপর্যয়

সফটওয়্যার নিরাপত্তার ইতিহাসে ২০২৬ সালের অক্টোবর হয়তো ‘ভয়ংকর মাস’ হিসেবেই মনে রাখা হবে। মাসের ২৩ দিনে প্রোগ্রামিং ভাষা, রানটাইম, অফিসের ই-মেইল যন্ত্র, নেটওয়ার্কের প্রবেশদ্বার থেকে শুরু করে বড় প্রতিষ্ঠানের হিসাব-ব্যবস্থাপনার সফটওয়্যার পর্যন্ত প্রায় প্রতিটি স্তরে গুরুতর নিরাপত্তা ত্রুটি প্রকাশ পেয়েছে। কয়েকটিতে এরই মধ্যে হামলা চলছে, কয়েকটির ঝুঁকিমাত্রা ১০-এর মধ্যে পূর্ণ ১০।

মাসের শেষ সপ্তাহে এসে পিএইচপির দুই ত্রুটি ‘পিএইচপি২শেল’ বিশ্বজুড়ে এমন আতঙ্ক ছড়িয়েছে যে বাংলাদেশ ব্যাংক থেকে নেদারল্যান্ডসের জাতীয় সাইবার নিরাপত্তা কেন্দ্র পর্যন্ত ওয়েবসাইট বন্ধ করে দিতে হয়েছে। মাইক্রোসফটের প্রধান নির্বাহী সত্য নাদেলা বার্তা সংস্থা রয়টার্সকে বলেছেন, ‘অনেক, অনেক দিন এমন কিছু দেখিনি।’

নির্মাতা প্রতিষ্ঠানগুলোর নিরাপত্তা বুলেটিন, যুক্তরাষ্ট্রের সাইবার নিরাপত্তা ও অবকাঠামো নিরাপত্তা সংস্থার (সিসা) সতর্কবার্তা এবং প্রতিষ্ঠিত প্রযুক্তি সংবাদমাধ্যমের তথ্য মিলিয়ে দিন ধরে ধরে সাজানো হলো এই ভয়ংকর অক্টোবরের ক্যালেন্ডার।

অক্টোবরের ক্যালেন্ডার

মাসের শুরু: আগের মাসের রেশ

সেপ্টেম্বরের শেষে, ২৭ তারিখ, সিসা জানায়, প্রতিষ্ঠানের নেটওয়ার্কে দূর থেকে ঢোকার প্রবেশদ্বার সিট্রিক্স নেটস্কেলার এডিসি ও গেটওয়ের দুটি ‘জিরো-ডে’ ত্রুটি (CVE-2026-88771 ও CVE-2026-88772) দিয়ে দূর থেকে কোড চালানো যায় এবং সেগুলো সক্রিয়ভাবে অপব্যবহার হচ্ছে। ৪ অক্টোবর একই পণ্যের আরেকটি ত্রুটি (CVE-2026-88779) হামলায় ব্যবহৃত ত্রুটির তালিকায় ওঠে। সিসার ভাষ্য, এটি যন্ত্রকে অচল করে দিতে পারে, আর হালনাগাদ না করা যন্ত্রে জোর করে পুনরায় চালু করিয়ে আগের ত্রুটির মাধ্যমে বসানো কোড চালাতেও সাহায্য করতে পারে। সংস্থাটি হালনাগাদের আগে অনুপ্রবেশের চিহ্ন খুঁজে প্রমাণ সংরক্ষণ এবং সন্দেহ হলে সব পাসওয়ার্ড, চাবি ও সার্টিফিকেট বদলানোর পরামর্শ দিয়েছে।

৫ অক্টোবর: অ্যাটলাসিয়ানের ফাইল ফাঁসের ত্রুটি

সফটওয়্যার নির্মাতা দলগুলোর বহুল ব্যবহৃত জিরা, কনফ্লুয়েন্স, বিটবাকেটসহ অ্যাটলাসিয়ানের আটটি ‘ডেটা সেন্টার’ পণ্যে একটি ত্রুটি (CVE-2026-21589) প্রকাশ পায়, যা লগইন ছাড়াই ওয়েব অ্যাপ্লিকেশনের নির্দিষ্ট ফাইল পড়ার সুযোগ দেয়। হেল্প নেট সিকিউরিটির খবর অনুযায়ী, ঝুঁকিমাত্রা ৯.৩; তবে আক্রমণকারীকে ফাইলের সঠিক নাম ও অবস্থান জানতে হয়। প্রকাশের সময় অ্যাটলাসিয়ান জানায়, অপব্যবহারের প্রমাণ তাদের কাছে নেই। পরে নিরাপত্তা প্রতিষ্ঠান ওয়াচটাওয়ার জানিয়েছে, তারা বাস্তবে এর অপব্যবহার দেখেছে। অ্যাটলাসিয়ানের ক্লাউড সেবা আগেই সুরক্ষিত করা হয়; নিজস্ব সার্ভারে চালানো প্রতিষ্ঠানগুলোকে দ্রুত হালনাগাদ করতে বলা হয়েছে।

১২ অক্টোবর: গিটল্যাবে পূর্ণ ১০ মাত্রার ত্রুটি

সফটওয়্যারের কোড সংরক্ষণ ও স্বয়ংক্রিয় নির্মাণ-পরীক্ষার প্ল্যাটফর্ম গিটল্যাব সর্বোচ্চ ১০ মাত্রার একটি ত্রুটির (CVE-2026-97229) সমাধান দেয়। এটি গিটল্যাবের সিআই/সিডি পাইপলাইনের রেগুলার এক্সপ্রেশন কম্পাইলারে। নিজস্ব সার্ভারে চালানো কমিউনিটি ও এন্টারপ্রাইজ সংস্করণে কোনো পাবলিক প্রজেক্টে শাখা তৈরির সুযোগ থাকলেই আক্রমণকারী বিশেষ কনফিগারেশন পাঠিয়ে সার্ভারে কোড চালাতে পারে। সমাধান এসেছে ১৯.৪.২, ১৯.৩.৫ ও ১৯.২.৮ সংস্করণে; গিটল্যাব ডটকম একই সঙ্গে সুরক্ষিত করা হয়। একজন গবেষক এরই মধ্যে প্রমাণস্বরূপ হামলার কোড প্রকাশ করেছেন, যদিও বাস্তবে হামলার খবর পাওয়া যায়নি।

একই দিন রাস্ট প্রোগ্রামিং ভাষার নিরাপত্তা তালিকা রাস্টসেকে মাইকি নামের একটি লাইব্রেরির ত্রুটিকে (RUSTSEC-2026-0335) ‘সংকটপূর্ণ’ চিহ্নিত করা হয়। নির্দিষ্ট পদ্ধতিতে এই লাইব্রেরি ভিডিও-অডিও কলের এনক্রিপশনের মূল চাবি খোলা অবস্থায় পাঠিয়ে দেয়।

১৩ অক্টোবর: মাইক্রোসফট ও এসএপির হালনাগাদ দিবস

মাসের দ্বিতীয় মঙ্গলবার মাইক্রোসফট তাদের নিয়মিত নিরাপত্তা হালনাগাদে রেকর্ডসংখ্যক ত্রুটির সমাধান দেয়—ব্লিপিংকম্পিউটারের হিসাবে ১ হাজার ৪১১টি, সিকিউরিটিউইকের হিসাবে ১ হাজার ৪১৩টি। এর মধ্যে উইন্ডোজ শেলের একটি ত্রুটি (CVE-2026-96951) হামলায় ব্যবহৃত হচ্ছিল, যা ইন্টারনেট থেকে নামানো ফাইলের ওপর উইন্ডোজের সতর্কতা ব্যবস্থা এড়িয়ে যেতে দেয়। নিরাপত্তা প্রতিষ্ঠান টেনেবলের সাতনাম নারাং জানিয়েছেন, এ বছর হামলায় ব্যবহৃত উইন্ডোজ শেলের এটি তৃতীয় ত্রুটি।

একই হালনাগাদে আসে মাইক্রোসফটের ডটনেট প্ল্যাটফর্মের CVE-2026-70197, ঝুঁকিমাত্রা ৮.১। মাইক্রোসফটের নিরাপত্তা পরামর্শ অনুযায়ী, উইন্ডোজে একই নেটওয়ার্ক সকেট-সংক্রান্ত বস্তু আইপিভি৪ ও আইপিভি৬ দুই ধরনের সংযোগে পুনর্ব্যবহার করলে লগইন ছাড়াই মেমোরির সীমার বাইরে লেখা সম্ভব হয়। এটি আগে প্রকাশ্যে আসেনি বা হামলায় ব্যবহৃত হয়নি; সমাধান এসেছে ডটনেট ৮.০.৩২, ৯.০.২১ ও ১০.০.১৩ সংস্করণে।

বড় প্রতিষ্ঠানের হিসাব, সরবরাহ ও উৎপাদন ব্যবস্থাপনার সফটওয়্যার নির্মাতা এসএপিও সেদিন ২২টি নতুন ও হালনাগাদকৃত নিরাপত্তা নোট প্রকাশ করে, যার চারটি সংকটপূর্ণ। সিকিউরিটিউইকের প্রতিবেদন অনুযায়ী:

• CVE-2026-89111 (মাত্রা ১০): পাইথনের জন্য এসএপি ক্লাউড এসডিকেতে ত্রুটি, যার মাধ্যমে আক্রমণকারী লগইনের টোকেন অনুরোধ নিজের সার্ভারে ঘুরিয়ে নিয়ে গোপন পরিচয়তথ্য হাতিয়ে নিতে পারে।
• CVE-2026-89110 (মাত্রা ৯.৯): নেটউইভার ভিজ্যুয়াল কম্পোজারে প্রবেশাধিকার নিয়ন্ত্রণের ত্রুটি; নিরাপত্তা প্রতিষ্ঠান অনাপসিসের মতে, কম ক্ষমতার ব্যবহারকারীও এর মাধ্যমে সংযুক্ত দূরবর্তী সিস্টেমে অভ্যন্তরীণ কাজ চালাতে পারে।
• CVE-2026-89107 (মাত্রা ৯.৯): এস/৪হানায় কোড অনুপ্রবেশের ত্রুটি; অনাপসিসের মতে, এতে পুরো সিস্টেমের নিয়ন্ত্রণ চলে যেতে পারে।
• CVE-2026-89108 (মাত্রা ৯.১): ম্যানুফ্যাকচারিং ইন্টিগ্রেশন অ্যান্ড ইন্টেলিজেন্সে অনুমতি যাচাইয়ের ঘাটতি, যার মাধ্যমে নির্দিষ্ট প্রশাসনিক ক্ষমতাধারী ব্যক্তি নিচের সার্ভারে নতুন প্রশাসক অ্যাকাউন্ট তৈরি করতে পারেন।

এসএপি জানিয়েছে, এগুলোর কোনোটি হামলায় ব্যবহৃত হওয়ার তথ্য নেই।

১৪ অক্টোবর: একটি ই-মেইলেই সিসকোর যন্ত্র দখল

প্রতিষ্ঠানের ই-মেইল ছেঁকে স্প্যাম ও ক্ষতিকর ফাইল আটকানোর যন্ত্র সিসকো সিকিউর ই-মেইল গেটওয়ের একটি জিরো-ডে ত্রুটি (CVE-2026-76519) সক্রিয়ভাবে অপব্যবহার হচ্ছে বলে জানায় সিসকো। ব্লিপিংকম্পিউটারের প্রতিবেদন অনুযায়ী, আক্রমণকারী শুধু একটি বিশেষভাবে তৈরি সংযুক্তিসহ ই-মেইল পাঠিয়ে যন্ত্রটিতে সর্বোচ্চ ক্ষমতায় (রুট) নির্দেশ চালাতে পারে; কোনো লগইন বা ব্যবহারকারীর ক্লিক লাগে না। সিসকোর হিসাবে ঝুঁকিমাত্রা ৯.৮। ফাইল রেপুটেশন সেবা চালু থাকা যন্ত্রগুলো আক্রান্ত; সমাধান এসেছে কনটেন্ট স্ক্যানার টুলসের ২৫.৩.০.৫৫২৫ সংস্করণে। সিসকো আক্রান্ত যন্ত্রের পাসওয়ার্ড ও এনক্রিপশন চাবি বদলাতে এবং যন্ত্রের বাইরের নেটওয়ার্ক লগ পরীক্ষা করতে বলেছে, কারণ রুট ক্ষমতা পেয়ে আক্রমণকারী যন্ত্রের লগ মুছে ফেলতে পারে।

১৬ অক্টোবর: হামলার তালিকায় আরও দুই

সিসা হামলায় ব্যবহৃত ত্রুটির তালিকায় দূর থেকে কারিগরি সহায়তা দেওয়ার সফটওয়্যার বিয়ন্ডট্রাস্ট রিমোট সাপোর্টের একটি প্রমাণীকরণ এড়ানোর ত্রুটি (CVE-2026-102764) এবং ফোর্টিনেটের একাধিক পণ্যের একটি ত্রুটি যুক্ত করে।

১৭ অক্টোবর: ঘোষণার আগেই প্রথম হামলার চেষ্টা

পরে জানা যায়, এই দিন অ্যামাজনের একটি ফাঁদ-সার্ভারে (হানিপট) পিএইচপির তখনো গোপন রাখা ত্রুটি কাজে লাগানোর চেষ্টা ধরা পড়ে—আনুষ্ঠানিক ঘোষণার চার দিন আগে। অ্যামাজনের নিরাপত্তাপ্রধান সিজে মোজেস জানিয়েছেন, আক্রমণকারী কীভাবে এ তথ্য পেল, তা জানা যায়নি।

১৯ অক্টোবর: গো-তে এক ডজন ত্রুটি, পালো অল্টোয় র‍্যানসমওয়্যার

উবুন্টুর নির্মাতা ক্যানোনিকাল গো প্রোগ্রামিং ভাষার প্যাকেজে ১২টি নিরাপত্তা ত্রুটির সমাধান দেয় (ইউএসএন-৮৯৩৫-১)। উবুন্টু ২৪.০৪, ২২.০৪ ও ২০.০৪ সংস্করণের এসব ত্রুটির বেশির ভাগই সার্ভার অচল করে দেওয়া (ডিনায়াল অব সার্ভিস) ধরনের; কয়েকটি এইচটিটিপি অনুরোধ বা উত্তর পাচারের সুযোগ দেয়, আর একটি ভুয়া মডিউল সরবরাহকারীকে বিকৃত প্যাকেজ চালিয়ে দেওয়ার সুযোগ দিত। একই দিন ওয়েবঅ্যাসেম্বলি রানটাইম ওয়াজমটাইমের ওয়াজমটাইম-ওয়াজি অংশে ফাইল সিস্টেমের সুরক্ষিত গণ্ডি ভেঙে বেরিয়ে যাওয়ার একটি ত্রুটির (RUSTSEC-2026-0352) সমাধানও প্রকাশ পায়।

পালো অল্টো নেটওয়ার্কসের গবেষণা শাখা ইউনিট ৪২ জানায়, তাদের গ্লোবালপ্রটেক্ট ভিপিএনের একটি পুরোনো প্রমাণীকরণ এড়ানোর ত্রুটি (CVE-2026-0257) এখন কিলিন ও ইনক নামের দুটি র‍্যানসমওয়্যার চক্র ব্যবহার করছে। তারা ভিপিএনে ঢুকে নেটওয়ার্কের ভেতরে ছড়িয়ে পড়ছে, তথ্য চুরি করছে ও র‍্যানসমওয়্যার বসাচ্ছে।

২০ অক্টোবর: ওরাকলের বিশাল হালনাগাদ, পিএইচপির তথ্য ফাঁস

ওরাকলের তিন মাস অন্তর প্রকাশিত ‘ক্রিটিক্যাল প্যাচ আপডেট’-এ আসে মোট ১ হাজার ২৯৫টি নিরাপত্তা সংশোধনী, যা টেনেবলের বিশ্লেষণে ১ হাজার ২০৯টি আলাদা ত্রুটি। সিকিউরিটিউইকের প্রতিবেদন অনুযায়ী, সবচেয়ে বেশি সংশোধনী ফিউশন মিডলওয়্যারে (২০৬টি, যার ১৩৪টি লগইন ছাড়াই দূর থেকে কাজে লাগানো যায়); এরপর ই-বিজনেস স্যুট (১৯৪), সিবেল সিআরএম (১২২), কমিউনিকেশনস (১১০), পিপলসফট (১০৯), জেডি এডওয়ার্ডস (১০২) ও মাইএসকিউএল (৯৮)। জাভা এসইতে এসেছে ৫৫টি সংশোধনী। টেনেবলের হিসাবে ৯৫টি সংশোধনী সংকটপূর্ণ। ওরাকল কোনো ত্রুটিকে হামলায় ব্যবহৃত বলে চিহ্নিত করেনি, তবে ভারতের সনদ প্রদানকারী প্রতিষ্ঠান ইমুদ্রার সনদ-সংক্রান্ত ঘটনার জবাবে জাভার জন্য আলাদা একটি সতর্কতাও (CVE-2026-91403) দিয়েছে।

সেদিনই ঘটে মাসের সবচেয়ে বড় অঘটন। নিরাপত্তা প্রতিষ্ঠান ওয়াচটাওয়ারের তথ্য অনুযায়ী, ২২ অক্টোবর আনুষ্ঠানিক ঘোষণার কথা থাকলেও পিএইচপির ত্রুটির বিবরণ সামাজিক মাধ্যমে ফাঁস হয়ে যায়।

২১ অক্টোবর: যেদিন ইন্টারনেট কেঁপে উঠল

বাধ্য হয়ে পিএইচপি দল আন্তর্জাতিক সময় দুপুর ২টায় (বাংলাদেশ সময় রাত ৮টা) জরুরি হালনাগাদ প্রকাশ করে। একই দিন ওয়েব সার্ভার ও অ্যাপের আরেক বড় ভিত্তি নোড.জেএস একসঙ্গে ১০টি নিরাপত্তা ত্রুটির সমাধান প্রকাশ করে। সিসা জরুরি সতর্কবার্তা জারি করে, আর ইউরোপ থেকে জাপান পর্যন্ত একের পর এক ওয়েবসাইট বন্ধ হতে শুরু করে। এই দিনের বিস্তারিত নিচে আলাদা করে তুলে ধরা হলো।

২২ অক্টোবর: বাংলাদেশে সতর্কতা

বাংলাদেশ ব্যাংক সতর্কতা হিসেবে ওয়েবসাইট বন্ধ করে দেয়। জাতীয় সাইবার নিরাপত্তা প্রতিক্রিয়া দল বিজিডি ই-গভ সার্ট ‘হ্যাকিংয়ের উচ্চ ঝুঁকি’র কথা জানিয়ে সতর্কতা জারি করে।

২৩ অক্টোবর: নেপালেও ব্যাংকের সাইট বন্ধ

নেপাল রাষ্ট্র ব্যাংক আর্থিক প্রতিষ্ঠানগুলোকে প্রয়োজনে ওয়েবসাইট সাময়িক বন্ধ রেখে নিরাপত্তাব্যবস্থা হালনাগাদ করতে বলে।

সবচেয়ে বড় ধাক্কা: পিএইচপি২শেল

ওয়েব প্রযুক্তি জরিপ প্রতিষ্ঠান ডব্লিউথ্রিটেকসের হিসাবে, যেসব ওয়েবসাইটের সার্ভারের ভাষা শনাক্ত করা যায়, তার প্রায় ৬৯ শতাংশ পিএইচপিতে চলে; ওয়ার্ডপ্রেস, দ্রুপাল, জুমলা ও উইকিপিডিয়ার সফটওয়্যারও পিএইচপিনির্ভর। তাই পিএইচপির মূল কাঠামোর ত্রুটি মানে ইন্টারনেটের বড় অংশের ঝুঁকি।

দুটি ত্রুটিই (CVE-2026-109618 ও CVE-2026-109619) পিএইচপির মেমোরি ব্যবস্থাপনায়। ওয়াচটাওয়ারের সহজ ব্যাখ্যায়, প্রথমটি ঘটে কোনো অনুরোধ প্রস্তুতের মাঝপথে মেমোরি ফুরিয়ে গেলে—ভেতরের আধা-তৈরি তথ্যকে পরে পিএইচপি সঠিক ধরে নেয়। দ্বিতীয়টিতে ছেড়ে দেওয়া মেমোরির পুরোনো তথ্য একই প্রক্রিয়ার পরের অনুরোধে ব্যবহৃত হয়ে যায়। দুটি দিয়েই কোনো পাসওয়ার্ড ছাড়া সার্ভারে আক্রমণকারীর নিজের কোড চালানো যায়, অর্থাৎ ফাইল, ডেটাবেস ও সংরক্ষিত তথ্যের নিয়ন্ত্রণ চলে যেতে পারে। পিএইচপি দল ও গুগল ক্লাউড ঝুঁকিমাত্রা ধরেছে ৯.২, ওয়াচটাওয়ার দিয়েছে পূর্ণ ১০।

২০১২ সালের পিএইচপি ৫.৪ থেকে ৮.৫.১১ পর্যন্ত প্রায় সব সংস্করণ আক্রান্ত। সমাধান এসেছে ৮.৫.১২, ৮.৪.২৭, ৮.৩.৩৬ ও ৮.২.৩৫ সংস্করণে। পিএইচপি ৮.১ ও পুরোনো সংস্করণে আনুষ্ঠানিক হালনাগাদ নেই; সিসা এসব সিস্টেম হালনাগাদ না হওয়া পর্যন্ত অফলাইনে রাখার পরামর্শ দিয়েছে। পিএইচপি দল জানিয়েছে, কনফিগারেশন বদলে এই ঝুঁকি পুরোপুরি ঠেকানো যায় না। ইন্টারনেট পর্যবেক্ষণ প্রতিষ্ঠান সেনসিসের তথ্য উদ্ধৃত করে রয়টার্স জানিয়েছে, পিএইচপির সংস্করণ প্রকাশ করে এমন প্রায় ২৬ লাখ সার্ভারের মধ্যে প্রায় ১৫ লাখ এমন সংস্করণে চলছে, যার কোনো সমাধান প্রকাশিত হয়নি।

ক্লাউডফ্লেয়ারের প্রধান নির্বাহী ম্যাথিউ প্রিন্সের হিসাবে, ঘোষণার আগের ১০ ঘণ্টায় তাদের নেটওয়ার্কে কয়েক হাজার হামলার চেষ্টা দেখা যায়; ঘোষণার পর ৪৫ মিনিটে তা কয়েক দশ হাজারে, দুই ঘণ্টায় কয়েক লাখে এবং পরে কয়েক মিলিয়নে পৌঁছায়। তবে এগুলো চেষ্টা, সফল অনুপ্রবেশ নয়। অ্যামাজন জানিয়েছে, প্রকাশের পর ত্রুটিগুলো ‘ব্যাপকভাবে’ অপব্যবহার হচ্ছে; অন্যদিকে সিসা ২১ অক্টোবর জানিয়েছিল, তখন পর্যন্ত তারা অপব্যবহার দেখেনি।

প্রতিক্রিয়া ছিল নজিরবিহীন। নেদারল্যান্ডসে জাতীয় সাইবার নিরাপত্তা কেন্দ্র, নাগরিক পরিচয় যাচাইয়ের সেবা ডিজিডি, প্রতিনিধি পরিষদ, রটারডাম বন্দর ও কয়েকটি হাসপাতালের ওয়েবসাইট বন্ধ করা হয়। ফ্রান্সের স্বরাষ্ট্র মন্ত্রণালয়ের অনুরোধে প্যারিস পুলিশের ওয়েবসাইটসহ বেশ কিছু সরকারি সাইট বন্ধ হয়; বেলজিয়ামের পররাষ্ট্র মন্ত্রণালয় ও ফিনল্যান্ডের সরকারি জনসেবা পোর্টালও বন্ধ রাখা হয়। জাপানে নোমুরা, মিতসুবিশি ইউএফজে, এএনএ ও ইস্ট জাপান রেলওয়ে কিছু অনলাইন সেবা স্থগিত করে, জাতীয় কর সংস্থা সেবা সাময়িক বন্ধ রাখে। উইকিমিডিয়া কিছু সিস্টেম বন্ধ রাখে, ইন্টারনেট আর্কাইভ কিছু সময়ের জন্য অফলাইনে যায়। ফিনল্যান্ডের সরকারি আইটি সংস্থা ভালতোরির মহাপরিচালক হান্নু নাউমানেন সতর্ক করেছেন, ‘সেবা পুনরুদ্ধারে কয়েক দিন, এমনকি কয়েক সপ্তাহ লাগতে পারে।’

নোড.জেএস: একই দিনে আরেক ধাক্কা

নোড.জেএসের ১০টি ত্রুটির চারটি ‘উচ্চ’ ঝুঁকির। সবচেয়ে গুরুতরটি (CVE-2026-111497) ব্রটলি নামের সংকোচন পদ্ধতির ডিকোডারে মেমোরির সীমার বাইরে লেখার ত্রুটি, যা দূর থেকে কোড চালানোর সুযোগ দেয়। আরও দুটি ত্রুটি (CVE-2026-105483 ও CVE-2026-106069) বিশেষভাবে লেখা আইপি ঠিকানা দিয়ে নিরাপদ সংযোগের সার্টিফিকেট যাচাই এড়িয়ে যেতে দেয়—সহজ কথায়, ভুয়া সার্ভারকে আসল বলে মেনে নেওয়ার ঝুঁকি। ইমুদ্রার একটি মধ্যবর্তী সনদ কর্তৃপক্ষ ঝুঁকিগ্রস্ত হওয়ায় বিশ্বস্ত সনদের তালিকাও হালনাগাদ করা হয়েছে। সমাধান এসেছে ২২.২৩.৪, ২৪.২২.১ ও ২৬.১২.১ সংস্করণে। নোড.জেএস স্পষ্ট জানিয়েছে, সহায়তার বাইরে থাকা পুরোনো সংস্করণগুলোও আক্রান্ত, কিন্তু সেগুলোর সমাধান দেওয়া হবে না।

অক্টোবর কেন এত ভয়ংকর

এক. এআই খুঁজছে পুরোনো ভুল

এই মাসের বড় দুটি ত্রুটির খোঁজ দিয়েছে কৃত্রিম বুদ্ধিমত্তা। ওপেনএআই জানিয়েছে, সাইবার নিরাপত্তা প্রতিষ্ঠান ক্যালিফ তাদের জিপিটি-৫.৬ সল মডেল দিয়ে পিএইচপির ত্রুটি শনাক্ত করে; অ্যালফাবেটের মালিকানাধীন উইজ কয়েক সপ্তাহ পর আলাদাভাবে একাধিক এআই টুলের সাহায্যে একই সমস্যা খুঁজে পায়। নোড.জেএসের ব্রটলি ত্রুটিটি জানিয়েছে ওপেনএআইয়ের ‘কোডেক্স সিকিউরিটি’ দল—নোড.জেএসের আনুষ্ঠানিক বুলেটিনেই তা উল্লেখ আছে। উইজ জানিয়েছে, তাদের একজন গবেষক প্রায় এক সপ্তাহে যে কাজ শেষ করেছেন, আগে তাতে একটি বিশেষায়িত দলের কয়েক মাস লাগতে পারত। উইজের ভাষায়, পিএইচপির ত্রুটিগুলো ‘পিএইচপিতে, এবং তর্কসাপেক্ষে সফটওয়্যারের ইতিহাসে আবিষ্কৃত সবচেয়ে গুরুতর ত্রুটিগুলোর অন্যতম’।

দুই. গোপনীয়তা ভেঙে পড়ছে

নিয়ম অনুযায়ী, ত্রুটির খবর গোপন রেখে সমাধান তৈরি হয়, তারপর একসঙ্গে প্রকাশ করা হয়। পিএইচপির ক্ষেত্রে সেই ব্যবস্থা কাজ করেনি: ঘোষণার চার দিন আগেই হামলার চেষ্টা, দুই দিন আগে সামাজিক মাধ্যমে বিবরণ ফাঁস। ফলে রক্ষাকারীরা প্রস্তুতির সময় পাননি। অ্যাকিডো সিকিউরিটির সহপ্রতিষ্ঠাতা ম্যাডেলিন লরেন্স রয়টার্সকে বলেছেন, ‘প্রতিষ্ঠানগুলো এমন আক্রমণকারীদের বিরুদ্ধে হালনাগাদের দৌড়ে নেমেছে, যারা এআই দিয়ে তাদের ওপর হামলা চালাতে পারে।’ টিএলপি:ব্ল্যাকের সহপ্রতিষ্ঠাতা কস্টিন রাইউর ভাষায়, চলছে ‘অপব্যবহারের দৌড়’।

তিন. পুরোনো সংস্করণের বোঝা

পিএইচপি ৮.১ বা পুরোনো, সহায়তার বাইরে থাকা নোড.জেএস—এসব সংস্করণ এখনো অসংখ্য সার্ভারে চলছে, অথচ সেগুলোর আনুষ্ঠানিক সমাধান আসবে না। ডিজিটাল ফরেনসিক বিশেষজ্ঞ হাল পোমেরানজ মনে করিয়ে দিয়েছেন, বিভিন্ন যন্ত্র ও পণ্যের ভেতরে বসানো এমন অসংখ্য পিএইচপি রয়েছে, যেগুলো ‘কখনোই হালনাগাদ হবে না’।

চার. প্রতিটি স্তরেই ফাটল

একটি সাধারণ প্রতিষ্ঠানের কথা ভাবুন। ওয়েবসাইট চলে পিএইচপিতে, অ্যাপে আছে নোড.জেএস বা জাভা, ই-মেইল যায় সিসকোর মতো গেটওয়ে দিয়ে, কর্মীরা দূর থেকে ঢোকেন নেটস্কেলার বা ভিপিএন দিয়ে, কোড থাকে গিটল্যাব বা বিটবাকেটে, আর হিসাব চলে ওরাকল বা এসএপিতে। ভয়ংকর অক্টোবরে এর প্রতিটি স্তরেই গুরুতর ত্রুটি প্রকাশ পেয়েছে।

বাংলাদেশে যা ঘটছে

বৃহস্পতিবার (২২ অক্টোবর) থেকে বাংলাদেশ ব্যাংকের ওয়েবসাইটে ঢুকলে রক্ষণাবেক্ষণের বার্তা দেখা যাচ্ছে। ব্যাংকের মুখপাত্র আরিফ হোসেন খান দ্য ডেইলি স্টার ও ঢাকা ট্রিবিউনকে জানান, বৈশ্বিক সাইবার হামলার ঝুঁকি এড়াতে সতর্কতা হিসেবে সাইটটি বন্ধ রাখা হয়েছে; আইটি বিভাগ ত্রুটি চিহ্নিত ও সমাধানের কাজ করছে। কবে সাইটটি চালু হবে, তা জানানো হয়নি।

বিজিডি ই-গভ সার্ট সরকারি সংস্থা, আর্থিক প্রতিষ্ঠান ও টেলিকম অপারেটরসহ সব প্রতিষ্ঠানকে সার্ভারে চলা সব পিএইচপির তালিকা করে ইন্টারনেটমুখী সিস্টেম আগে হালনাগাদ করতে বলেছে। সংস্থাটি মনে করিয়ে দিয়েছে, শুধু ওয়েবসাইটের ফ্রেমওয়ার্ক নয়, সার্ভারের পিএইচপি রানটাইমই হালনাগাদ করতে হবে; তাৎক্ষণিক সম্ভব না হলে প্রবেশ সীমিত করা ও শুধু নির্দিষ্ট আইপি ঠিকানা থেকে প্রবেশের অনুমতি দিতে হবে।

প্রথম আলোর ইংরেজি সংস্করণের প্রতিবেদন অনুযায়ী, এটুআই জানিয়েছে জাতীয় তথ্য বাতায়নের প্রায় সাড়ে ৩৬ হাজার ওয়েবসাইট পিএইচপিতে তৈরি নয়; তবে কাঠামোর বাইরে থাকা সরকারি সাইটগুলোর প্রযুক্তি যাচাই চলছে। হোস্টিং প্রতিষ্ঠান লিমডা হোস্টের প্রধান প্রযুক্তি কর্মকর্তা জুনায়েদ মিয়াজে জানিয়েছেন, তাঁদের গ্রাহকদের প্রায় ৮০ শতাংশ পিএইচপিভিত্তিক ওয়েবসাইট চালান; গ্রাহকেরা দ্রুত হালনাগাদ করেছেন এবং এখন পর্যন্ত কোনো প্রভাব ধরা পড়েনি। সাইবার নিরাপত্তা বিশেষজ্ঞ তানভীর হাসান জোহা বলেছেন, হালনাগাদ সম্ভব না হলে সার্ভার সাময়িকভাবে ইন্টারনেট থেকে বিচ্ছিন্ন রাখা উচিত।

প্রতিবেশী নেপালে ব্যাংক, আর্থিক প্রতিষ্ঠান, কর্মচারী সঞ্চয় তহবিল ও সামাজিক সুরক্ষা তহবিলের ওয়েবসাইট বন্ধ রাখা হয়েছে। নেপাল রাষ্ট্র ব্যাংকের মুখপাত্র গুরুপ্রসাদ পৌডেল মনে করিয়ে দিয়েছেন, ‘ওয়েবসাইট অফলাইন থাকা মানেই তা হ্যাক হয়েছে, এমন নয়।’

ভয়ংকর অক্টোবর থেকে বাঁচতে যা করবেন

প্রতিষ্ঠানের আইটি বিভাগ

• তালিকা করুন: কোন সার্ভারে কোন ভাষা, রানটাইম ও সফটওয়্যারের কোন সংস্করণ চলছে, তার হালনাগাদ তালিকা রাখুন—অন্য পণ্যের ভেতরে থাকা পিএইচপি, জাভা বা নোড.জেএসসহ।
• আগে আগুন নেভান: যেসব ত্রুটি হামলায় ব্যবহৃত হচ্ছে (সিসকো ই-মেইল গেটওয়ে, সিট্রিক্স নেটস্কেলার, অ্যাটলাসিয়ান, উইন্ডোজ শেল, পিএইচপি, পালো অল্টো ভিপিএন) এবং যেসব সিস্টেম ইন্টারনেটমুখী, সেগুলো আগে হালনাগাদ করুন।
• পুরোনো সংস্করণ ছাড়ুন: পিএইচপি ৮.১ বা পুরোনো এবং সহায়তার বাইরে থাকা নোড.জেএস সংস্করণের আনুষ্ঠানিক সমাধান আসবে না।
• হালনাগাদের আগে খুঁজুন: প্রবেশদ্বার ও ই-মেইল যন্ত্রে আগে অনুপ্রবেশের চিহ্ন খুঁজুন; সন্দেহ হলে পাসওয়ার্ড, চাবি ও সার্টিফিকেট বদলান।
• সাময়িক বিকল্প: তাৎক্ষণিক হালনাগাদ সম্ভব না হলে প্রবেশ সীমিত করুন বা সিস্টেম সাময়িক অফলাইনে রাখুন। ফায়ারওয়াল সাময়িক সুরক্ষা দেয়, হালনাগাদের বিকল্প নয়।

সফটওয়্যার নির্মাতা

• নির্ভরশীল লাইব্রেরি ও প্যাকেজের নিরাপত্তা সতর্কতা নিয়মিত পরীক্ষা করুন; রাস্ট, গো বা নোড.জেএসের প্যাকেজ তালিকা হালনাগাদ রাখুন।
• প্লাগইন বা ফ্রেমওয়ার্ক হালনাগাদ করলেই হবে না; সার্ভারের রানটাইম হালনাগাদ করে প্রক্রিয়াগুলো পুনরায় চালু করুন।

সাধারণ ব্যবহারকারী

• ব্যবহৃত অনলাইন সেবার নিরাপত্তা বিজ্ঞপ্তিতে নজর রাখুন; বললে পাসওয়ার্ড বদলান।
• এসব ঘটনাকে পুঁজি করে আসা ভুয়া ই-মেইল, এসএমএস বা লিংক থেকে সাবধান থাকুন।
• কোনো ওয়েবসাইট সাময়িক বন্ধ থাকলেই আতঙ্কিত হবেন না; অনেক প্রতিষ্ঠান শুধু সতর্কতা হিসেবে সাইট বন্ধ রাখছে।

সামনে কী

অক্টোবর শেষ হতে এখনো এক সপ্তাহ বাকি, আর ঝুঁকির ক্যালেন্ডারও থেমে নেই। সিকিউরিটিউইক জানিয়েছে, ওরাকলের পরের নিরাপত্তা হালনাগাদ আসবে ১৭ নভেম্বর ও ১৫ ডিসেম্বর। পিএইচপির ত্রুটি সারাতে অনেক প্রতিষ্ঠানের কয়েক সপ্তাহ লেগে যেতে পারে। তবু একটি সান্ত্বনা আছে: এই মাসের প্রায় প্রতিটি ত্রুটির সমাধান প্রকাশিত হয়েছে। ঝুঁকি তৈরি হয় তখনই, যখন সেই সমাধান সার্ভারে বসানো হয় না। এআই যখন রক্ষাকারী আর আক্রমণকারী—দুই পক্ষকেই দ্রুততর করছে, তখন হালনাগাদে দেরি করার সুযোগ আর আগের মতো নেই। ভয়ংকর অক্টোবরের সবচেয়ে বড় শিক্ষা হয়তো এটুকুই।