প্যাচ প্রকাশিত হলেও ঝুঁকিপূর্ণ সার্ভার এখনো রয়ে গেছে

PHP, PHP2Shell দুর্বলতাগুলোর জন্য প্যাচ প্রকাশ করেছে। তবে অপারেটররা আপডেট ইনস্টল করে PHP পুনরায় চালু না করা পর্যন্ত সার্ভার ঝুঁকিতে থাকবে। ১০-এর মধ্যে ৯.২ মাত্রার গুরুতর হিসেবে চিহ্নিত এই ত্রুটিগুলো আক্রমণকারীদের লগইন না করেই ওয়েব সার্ভারে কোড চালানোর সুযোগ দিতে পারে। ২১ অক্টোবর প্যাচ প্রকাশের আগেই দুর্বলতাগুলোর বিবরণ ও কাজে লাগানোর টুল ছড়িয়ে পড়ে। এর পর সতর্কতামূলক ব্যবস্থা হিসেবে কয়েকটি দেশের সরকারি সংস্থা ও বড় পরিষেবা প্রতিষ্ঠান তাদের ওয়েবসাইট সাময়িকভাবে বন্ধ করে দেয়। Cloudflare-এর প্রধান নির্বাহী ম্যাথিউ প্রিন্স PHP2Shell কাজে লাগানোর লক্ষ লক্ষ চেষ্টার কথা জানান। জার্মানির BSI এবং জাপান সরকার জানায়, তারা সফল আক্রমণের প্রমাণ নিশ্চিত করতে পারেনি। অন্যদিকে, Amazon জানায়, তাদের একটি ডিকয় সার্ভার ১৭ অক্টোবর—জনসমক্ষে প্রকাশের আগে—একটি প্রচেষ্টা রেকর্ড করেছিল। PHP Foundation জানায়, ২০২৪ সালে তারা প্রথম একটি ত্রুটির লক্ষণ খুঁজে পায় এবং সেটি সারাতে দেরিকে “কাঠামোগত ব্যর্থতা” বলে অভিহিত করে। নিরাপত্তা প্রতিষ্ঠান Mallory-এর হিসাবে, ইন্টারনেট-সংযুক্ত প্রায় ৮৮৪,০০০ হোস্টে এমন PHP সংস্করণ চলছে, যেগুলোর জন্য কোনো আনুষ্ঠানিক সমাধান নেই। সফলভাবে কাজে লাগানোর খবর এখনো অস্পষ্ট, আর কিছু গবেষক সতর্ক করেছেন যে আক্রমণ আরও বাড়তে পারে। কোনো ক্রিপ্টো এক্সচেঞ্জ বা ওয়ালেট এখন পর্যন্ত PHP2Shell-সংশ্লিষ্ট নিরাপত্তা লঙ্ঘনের কথা প্রকাশ্যে জানায়নি। তবে আক্রান্ত ওয়েবসাইট থেকে লগইন তথ্য ফাঁস হতে পারে, দর্শকদের প্রতারণামূলক সাইটে পাঠানো হতে পারে, কিংবা বৈধ ক্রিপ্টো পরিষেবার ছদ্মবেশে ব্যবহারকারীদের ক্ষতিকর ওয়ালেট লেনদেন অনুমোদনে প্রলুব্ধ করা হতে পারে। এই দুর্বলতা সার্ভার সফটওয়্যারকে প্রভাবিত করে, ব্যবহারকারীর ডিভাইসকে নয়। ক্রিপ্টো লেনদেনকারীদের বুকমার্ক করা সাইট ও অফিসিয়াল অ্যাপ ব্যবহার করা, অপ্রত্যাশিত আপডেটের অনুরোধ এবং নিরাপত্তা-সংক্রান্ত ইমেলের লিংক এড়ানো, দ্বি-স্তরীয় প্রমাণীকরণ চালু করা, API কী সীমিত রাখা, ওয়ালেটের ঠিকানা ও লেনদেনের অনুরোধ যাচাই করা এবং অপ্রত্যাশিত লেনদেনে স্বাক্ষর না করা উচিত। ট্রেডিং বট পরিচালকদেরও সংশ্লিষ্ট সফটওয়্যার নির্ভরতা পরীক্ষা করে হালনাগাদ করা উচিত।