php2shell: Exposing the Reality of the PHP Vulnerability Myth

অনেকেরই ভুল ধারণা ছিল যে আধুনিক ওয়েব অ্যাপ্লিকেশনগুলো ডিফল্টভাবেই নিরাপদ, কিন্তু php2shell এর আকস্মিক আক্রমণ সেই ধারণাকে পুরোপুরি বদলে দিয়েছে। JITAAce এর নিরাপত্তা বিশেষজ্ঞরা সবসময় এমন হুমকির দিকে নজর রাখেন, তবে এই নির্দিষ্ট phpvulnerability বিশ্বজুড়ে আইটি পেশাদারদের নতুন করে ভাবতে বাধ্য করেছে। ১ আগস্ট ২০২৬ তারিখে Calif, OpenAI এবং Wiz যখন প্রথমবার পিএইচপি-র কোর সিস্টেমে এই ত্রুটি শনাক্ত করে, তখন প্রাথমিক অবস্থায় অনেকেই এর দীর্ঘমেয়াদী ভয়াবহতা বুঝতে পারেননি।

CVE-2026-109618 এবং CVE-2026-109619 নামের দুটি প্রধান ত্রুটি নিয়ে গঠিত এই নিরাপত্তা ঘটনাটি কোনো সাধারণ সমস্যা ছিল না। এর কমন ভালনারেবিলিটি স্কোরিং সিস্টেম (CVSS v4.0) স্কোর ছিল ৯.২, যা অত্যন্ত বিপজ্জনক একটি মাত্রা। এমনকি CVSS 3.x মূল্যায়নে একটি ত্রুটির স্কোর ৯.৮ এবং অন্যটির ৮.১ নির্ধারণ করা হয়। পিএইচপি সংস্করণ ৫.৪ থেকে শুরু করে ৮.৫ পর্যন্ত সব ভার্সনই এই মেমরি করাপশন ত্রুটির শিকার হয়েছে। হ্যাকাররা কোনো ধরনের প্রমাণীকরণ বা অথেনটিকেশন ছাড়াই দূর থেকে কোড রান করাতে সক্ষম হয়েছিল। অনেকেই ভেবেছিলেন যে এটি কেবল তাত্ত্বিক একটি ত্রুটি, কিন্তু ২৬ অক্টোবর ২০২৬ তারিখে যুক্তরাষ্ট্রের CISA যখন এটিকে তাদের KEV তালিকায় অন্তর্ভুক্ত করে, তখন বাস্তব আক্রমণের বিষয়টি নিশ্চিতভাবে প্রমাণিত হয়।

Decoding php2shell Mechanics

এই ঘটনার প্রভাব ছিল ব্যাপক এবং বিস্তৃত। ২১ অক্টোবর ২০২৬ তারিখে ১৪:০০ UTC-তে যখন জরুরি সিকিউরিটি প্যাচ প্রকাশ করা হচ্ছিল, ঠিক তখনই Wikimedia, DeviantArt এবং Pokémon Home এর মতো বড় প্ল্যাটফর্মগুলো নিজেদের সুরক্ষার জন্য সাময়িকভাবে তাদের অনলাইন সেবা বন্ধ রাখতে বাধ্য হয়। শুধু তাই নয়, নেদারল্যান্ডস, ফিনল্যান্ড ও ডেনমার্কের সরকারি সংস্থা এবং রটারডাম বন্দরের মতো গুরুত্বপূর্ণ অবকাঠামোতেও তাৎক্ষণিক প্রতিরোধমূলক ব্যবস্থা গ্রহণ করা হয়েছিল। পিএইচপি কর্তৃপক্ষ ঐ দিনই সংশোধিত সংস্করণগুলো (PHP 8.2.35, 8.3.36, 8.4.27 এবং 8.5.12) প্রকাশ করে পরিস্থিতি সামাল দেওয়ার চেষ্টা করে। এর ঠিক দুই দিন পর, ২৩ অক্টোবর আপলোড প্রগ্রেস সংশ্লিষ্ট আরেকটি ত্রুটি CVE-2026-115560 এর জন্য অতিরিক্ত সুরক্ষামূলক নির্দেশনা জারি করা হয়।

ঠিক এই সময়েই HTTP2Shell নামের আরেকটি ত্রুটি Brotli কম্প্রেশন লাইব্রেরিকে আক্রমণ করে বসে। এটি ধীরে ধীরে Node.js, Python এবং সর্বশেষ .NET ও পিএইচপি উইন্ডোজ ভার্সনে ছড়িয়ে পড়ে। পরিস্থিতি নিয়ন্ত্রণে আনতে মাইক্রোসফট দ্রুত .NET এর জন্য আপডেট প্রকাশ করে এবং পিএইচপি কর্তৃপক্ষও উইন্ডোজের জন্য '-1' ট্যাগযুক্ত নতুন সংস্করণ রিলিজ করে। একটি সাম্প্রতিক হিসাবে দেখা গেছে, বিশ্বজুড়ে প্রায় ৩ কোটি ২০ লাখেরও বেশি পিএইচপি সেবা এখনো ইন্টারনেটে অরক্ষিত অবস্থায় রয়েছে। এই পরিসংখ্যান আমাদের মনে করিয়ে দেয় যে, ডিজিটাল নিরাপত্তার ক্ষেত্রে আত্মতুষ্টির কোনো সুযোগ কখনোই নেই।