গত সপ্তাহে হাজার হাজার বড় সাইটকে প্রভাবিত করে এবং মানুষের মধ্যে আতঙ্ক ছড়িয়ে গুরুতর ও জটিল সফটওয়্যার দুর্বলতার একটি স্রোত দেখা গেছে। PHP-তে দুটি রিমোট কোড এক্সিকিউশন (RCE) দুর্বলতা, যার নাম দেওয়া হয়েছে PHP2Shell, Calif এবং Wiz-এর পৃথক নিরাপত্তা দল খুঁজে পেয়েছে, যারা উভয়ই ত্রুটি শনাক্ত করতে এবং কার্যকর এক্সপ্লয়েট তৈরি করতে ফ্রন্টিয়ার AI মডেল ব্যবহার করেছে। অনুমান অনুযায়ী এই ত্রুটি ইন্টারনেটের ৭০%-এরও বেশি প্রভাবিত করতে পারে, এবং উইকিমিডিয়া ফাউন্ডেশন, DeviantArt, যুক্তরাজ্য সরকারের বড় একটি অংশ, জাপানের ব্যাংকিং সিস্টেম এবং BBC-র The Traitors ওয়েবসাইটসহ হাজার হাজার ওয়েবসাইট আক্রান্ত হয়েছে।
এর একটি ত্রুটি, CVE-2026-109618, আসলে Sovereign Tech Agency-র অর্থায়নে PHP Foundation-এর ২০২৪ সালের একটি নিরাপত্তা নিরীক্ষায় চিহ্নিত হয়েছিল। দলটি এটিকে সরিয়ে রেখেছিল কারণ তাদের আরও বড় উদ্বেগ ছিল এবং সমাধান নিয়ে তারা একমত হতে পারেনি, তাদের যুক্তি ছিল এই তাত্ত্বিক সমস্যা থেকে কেউ বাস্তব এক্সপ্লয়েট তৈরি করতে পারবে না। AI মডেল সেই হিসাব বদলে দিয়েছে। অস্পষ্ট দুর্বলতার বর্ণনাকে সম্পূর্ণ এক্সপ্লয়েটে রূপান্তর করতে তারা খুবই দক্ষ, এবং এজেন্টরা এখন প্যাচ প্রকাশের মুহূর্তেই প্যাচ ডিফ স্ক্যান করে ত্রুটিতে পৌঁছাতে পারে।
petecooper নামের একজন ব্যবহারকারী Hacker News-এ CVE নিয়ে পোস্ট করায় এমব্যার্গো ভেঙে যায়, তিনি স্পষ্টতই জানতেন না যে এমব্যার্গো আছে। PHP Group তড়িঘড়ি করে প্যাচের তারিখ বৃহস্পতিবার ২২ থেকে বুধবার ২১ তারিখে এগিয়ে আনে, কিন্তু সমাধানটি তখনও আরও এক দিন পরে আসার কথা ছিল। ফাঁস হওয়া CVSS স্কোর ১০.০-ও ভুল ছিল, প্রকৃত স্কোর ছিল ৯.২। প্যাচ প্রকাশের সময়ের মধ্যেই দুর্বলতাটি বাস্তবে ব্যবহৃত হওয়া শুরু হয়ে গিয়েছিল।
PHP Foundation দায় চাপিয়েছে Calif-এর ওপর, যারা এক্সপ্লয়েটের একটি ভিডিও ফাঁস করেছে বলে জানা যায়, এবং Chainguard-এর ওপর, যারা এমব্যার্গো উঠে যাওয়ার ছয় ঘণ্টা আগে সমাধান প্রকাশ করেছে। ঘটনাপ্রবাহ বিভ্রান্তিকর, তবে মনে হচ্ছে একাধিক সংযুক্ত ব্যর্থতার কারণে প্রশাসকরা প্যাচ দেওয়ার আগেই আক্রমণকারীরা সিস্টেমে পৌঁছাতে পেরেছে।
উৎস: Hacker News · সারাংশ: HeadlinesBriefing