php2shell: Exposing the Myth of Secure PHP Servers

অনেক সিস্টেম অ্যাডমিনিস্ট্রেটর দৃঢ়ভাবে বিশ্বাস করেন যে একটি মজবুত ফায়ারওয়ালের আড়ালে থাকলে তাদের সার্ভার সম্পূর্ণ নিরাপদ। কিন্তু সম্প্রতি প্রকাশ্যে আসা php2shell নামের একটি ভয়াবহ phpvulnerability সার্ভার নিরাপত্তার এই ভ্রান্ত ধারণাকে পুরোপুরি ভেঙে দিয়েছে। JeetBuzz-এর মতো একটি দায়িত্বশীল এবং উন্নত প্ল্যাটফর্মে আমরা সাইবার নিরাপত্তার প্রতিটি খুঁটিনাটি খুব গুরুত্ব সহকারে পর্যবেক্ষণ করি এবং সর্বদা নিশ্চিত করি যেন আমাদের ডিজিটাল পরিবেশ সব ধরনের ঝুঁকি থেকে মুক্ত থাকে।

php2shell Attack Vectors

২০২৬ সালের ১ আগস্ট তারিখে Calif, OpenAI এবং Wiz-এর যৌথ গবেষণায় সর্বপ্রথম PHP2Shell-এর গভীর ত্রুটিগুলো ধরা পড়ে। সবচেয়ে আতঙ্কের বিষয় হলো, এই দুর্বলতার কথা জনসমক্ষে আনুষ্ঠানিকভাবে আসার অনেক আগেই হ্যাকাররা তাদের আক্রমণ শুরু করেছিল। ১৭ অক্টোবর তারিখে অ্যামাজন থ্রেট ইন্টেলিজেন্স তাদের অত্যন্ত সংবেদনশীল MadPot প্ল্যাটফর্মের মাধ্যমে বাস্তব পরিবেশে এই শোষণের চেষ্টা সফলভাবে শনাক্ত করে। এটি আমাদের স্পষ্টভাবে মনে করিয়ে দেয় যে, সাইবার অপরাধীরা আধুনিক সার্ভারগুলোর দুর্বলতা কাজে লাগাতে সর্বদা প্রস্তুত থাকে।

এই নিরাপত্তা বিপর্যয়ের কেন্দ্রবিন্দুতে রয়েছে CVE-2026-109618 এবং CVE-2026-109619 নামক দুটি দুর্বলতা, যেগুলোর CVSS 4.0 স্কোর ৯.২ এবং CVSS 3.x স্কোর যথাক্রমে ৯.৮ এবং ৮.১ নির্ধারণ করা হয়েছে। এর মাধ্যমে আক্রমণকারীরা কোনো ধরনের লগইন বা ভেরিফিকেশন ছাড়াই মেমোরি করাপশন পদ্ধতি ব্যবহার করে সার্ভারে ক্ষতিকর কোড চালাতে সক্ষম হয়। এই চরম ঝুঁকির কারণে যুক্তরাষ্ট্রের সাইবারসিকিউরিটি অ্যান্ড ইনফ্রাস্ট্রাকচার সিকিউরিটি এজেন্সি (CISA) অক্টোবর মাসে এই ত্রুটি দুটিকে তাদের KEV ক্যাটালগে সরাসরি যুক্ত করেছে। একটি পরিসংখ্যান অনুযায়ী, বিশ্বজুড়ে এখনও প্রায় ৩ কোটি ২০ লাখের বেশি সার্ভার প্রয়োজনীয় আপডেট ছাড়া ইন্টারনেটে সরাসরি উন্মুক্ত অবস্থায় রয়েছে।

The HTTP2Shell Connection

ঠিক একই সময়ে HTTP2Shell বা CVE-2026-111497 নামের আরও একটি ত্রুটি সম্পূর্ণ প্রযুক্তি বিশ্বকে গভীরভাবে চিন্তায় ফেলেছে। মূলত গুগল-এর ওপেন সোর্স ব্রোটলি (Brotli) কম্প্রেশন লাইব্রেরির সমস্যার কারণে উদ্ভূত এই ত্রুটি .NET এবং PHP-এর উইন্ডোজ সংস্করণগুলোকে মারাত্মক ঝুঁকির মুখে ঠেলে দেয়। একটি বিশেষ ক্ষতিকর কম্প্রেশন প্রক্রিয়ার মাধ্যমে মেমোরি নষ্ট করে এই ত্রুটি দূরবর্তী আক্রমণকে বাস্তব রূপ দেয়। এই পরিস্থিতির ভয়াবহতা বুঝতে পেরে মাইক্রোসফট খুব দ্রুত .NET ৮.০ থেকে ১১ সংস্করণের জন্য জরুরি আপডেট প্রকাশ করেছে।

অন্যদিকে PHP কর্তৃপক্ষও নিশ্চুপ থাকেনি। ২০২৬ সালের ২০ অক্টোবর তারা আনুষ্ঠানিকভাবে এই দুর্বলতাগুলো স্বীকার করে এবং প্যাচ প্রকাশের সুনির্দিষ্ট সময়সূচি ঘোষণা করে। ঠিক তার পরদিন, ২১ অক্টোবর ইউটিসি ১৪:০০ ঘটিকায় তারা জরুরিভিত্তিতে একটি প্যাচ অবমুক্ত করে। এই সংশোধনের অংশ হিসেবে PHP সংস্করণ ৮.২.৩৫, ৮.৩.৩৬, ৮.৪.২৭ এবং ৮.৫.১২ আনুষ্ঠানিকভাবে প্রকাশ করা হয়। এছাড়া উইন্ডোজ সংস্করণে ব্রোটলি সমস্যা সমাধানের জন্য ৮.২ থেকে ৮.৫ সংস্করণের রিলিজগুলোকে "-1" সাফিক্স যুক্ত করে নতুনভাবে প্রতিস্থাপন করা হয়েছে।