php2shell Exposes the Myth of Safe Legacy PHP Systems

অনেকেই বিশ্বাস করেন যে পুরোনো সার্ভার সিস্টেমগুলো সময়ের সাথে সাথে একধরনের স্বয়ংক্রিয় নিরাপত্তা অর্জন করে। কিন্তু php2shell দুর্বলতা এই প্রচলিত ধারণাকে সম্পূর্ণ ভিত্তিহীন প্রমাণ করেছে। BouncingBall8 এর মতো প্ল্যাটফর্মগুলো যখন তাদের ডিজিটাল পরিকাঠামোতে সর্বোচ্চ সুরক্ষা বজায় রাখতে প্রতিনিয়ত কাজ করে যাচ্ছে, ঠিক তখনই এমন একটি গুরুতর ত্রুটি পুরো সাইবার জগতে এক গভীর উদ্বেগের জন্ম দিয়েছে।

২০২৬ সালের ১ আগস্ট Calif, OpenAI এবং Wiz-এর নিরাপত্তা গবেষকদের মাধ্যমে প্রথম প্রকাশ্যে আসে এই সমস্যাটি। এটি আসলে সাধারণ কোনো কোডিং ভুল নয়; বরং CVE-2026-109618 এবং CVE-2026-109619 নামক দুটি ভিন্ন ত্রুটির একটি মারাত্মক সংমিশ্রণ, যার CVSS রেটিং ৯.২। আক্রমণকারীরা কোনো বৈধ লগইন তথ্য ছাড়াই মেমরি করাপশন কাজে লাগিয়ে দূরবর্তী সার্ভার থেকে নিজেদের ইচ্ছামতো কমান্ড চালাতে পারে।

এটি যে নিছক কোনো তাত্ত্বিক দুর্বলতা ছিল না, তা খুব দ্রুতই পরিষ্কার হয়ে যায়। ২০২৬ সালের ১৭ অক্টোবর Amazon Threat Intelligence তাদের MadPot টেলিমেট্রি সিস্টেমে এই phpvulnerability শোষণের সুস্পষ্ট প্রমাণ খুঁজে পায়। বাস্তব দুনিয়ায় হ্যাকারদের এই অপতৎপরতা নিশ্চিত হওয়ার পর, মার্কিন সাইবার নিরাপত্তা সংস্থা CISA জরুরি ভিত্তিতে এটিকে তাদের KEV ক্যাটালগে একটি পরিচিত হুমকি হিসেবে তালিকাভুক্ত করে।

২০২৬ সালের ২০ অক্টোবর PHP কর্তৃপক্ষ আনুষ্ঠানিকভাবে বিপদের কথা স্বীকার করার পরদিন, অর্থাৎ ২১ অক্টোবর ইউটিসি ১৪:০০ ঘটিকায় সংশোধিত সংস্করণগুলো অবমুক্ত করে। পরিস্থিতি এতটাই গুরুতর ছিল যে, Cloudflare তাদের নিজস্ব নেটওয়ার্কে প্যাচ প্রকাশের আগেই সুরক্ষামূলক WAF রুল কার্যকর করে। এমনকি উইকিমিডিয়া, ডেভিয়ান্টআর্ট এবং নেদারল্যান্ডসের বিভিন্ন সরকারি সংস্থা ও ডাচ হাসপাতালগুলো প্যাচ প্রয়োগের সুবিধার্থে স্বেচ্ছায় তাদের সিস্টেম সাময়িকভাবে অফলাইনে নিয়ে যায়।

এই সংকটের মাঝেই Google-এর ওপেন সোর্স কম্প্রেশন লাইব্রেরি Brotli থেকে সৃষ্ট 'HTTP2Shell' দুর্বলতা পরিস্থিতিকে আরও জটিল করে তোলে। এই ত্রুটিটি ধীরে ধীরে .NET এবং PHP Windows সংস্করণগুলোতেও ছড়িয়ে পড়ে। মাইক্রোসফট দ্রুত তাদের সিস্টেমের জন্য জরুরি আপডেট প্রকাশ করে, এবং অন্যদিকে PHP কর্তৃপক্ষও Windows-এর জন্য 8.2 থেকে 8.5 ভার্সনের নতুন রিলিজ দেয়, যাতে প্রতিষ্ঠানগুলো দ্রুত তাদের সিস্টেম বহির্মুখী আক্রমণ থেকে সুরক্ষিত করতে পারে।