একটি বহুল আলোচিত PHP দুর্বলতা মনোযোগ আকর্ষণ করছে, তবে লেখকের মতে এটি কাজে লাগানো মোটেই সহজ নয়। GitHub-এ হাজার হাজার প্রুফ-অফ-কনসেপ্ট (proof-of-concept) এক্সপ্লয়েট থাকা সত্ত্বেও লেখক দেখেছেন, Docker-এ সরাসরি চালানো একটি সাধারণ PHP ইনস্ট্যান্সের বিরুদ্ধে এর একটিও কাজ করে না।
লেখক এই বাগটিকে Log4Shell, Heartbleed, Shellshock এবং YAML ডিকোডিং সমস্যার মতো কুখ্যাত ত্রুটিগুলোর সঙ্গে তুলনা করেন, যেগুলো প্রকাশের কয়েক ঘণ্টার মধ্যেই বটনেট দিয়ে অস্ত্রে পরিণত করা হয়েছিল। লেখক উল্লেখ করেন, PHP-এর বেশিরভাগ প্রুফ-অফ-কনসেপ্ট কোড লোকাল-ফাইল-ইনক্লুশন (LFI)-এর উপর নির্ভরশীল, অর্থাৎ লক্ষ্য সার্ভারে আগে থেকেই আলাদা একটি দুর্বলতা থাকতে হবে, যা আক্রমণকারীদের ফাইল পড়তে দেয়। লেখকের মতে, এই শর্তই এটিকে শিরোনামে যতটা ভয়ংকর দেখায়, বাস্তবে তার চেয়ে অনেক কম গুরুতর বাগে পরিণত করে।
লেখক অতিরঞ্জিত দাবি ছড়ানোর জন্য AI টুলগুলোকেও দায়ী করেন। তাঁর মতে, অনেকেই ধরে নিয়েছিলেন বড় ভাষা মডেল প্যাচ ডিফ থেকে তাৎক্ষণিকভাবে কার্যকর এক্সপ্লয়েট চেইন তৈরি করতে পারবে, এবং কিছু প্রুফ-অফ-কনসেপ্ট কোড এভাবেই তৈরি হয়েছে বলে মনে হয়, কখনো কখনো পরীক্ষার সার্ভারকে দুর্বল করার জন্য সেটি পরিবর্তন করেও।
লেখক আরও যোগ করেন, Claude ও GPT-এর মতো টুলের ব্যাপক ব্যবহার পুরো শিল্প জুড়ে একই রকম ডিজাইন ও বিচারবুদ্ধির সিদ্ধান্ত তৈরি করছে। তবু তিনি জোর দেন যে দুর্বলতাটি বাস্তব এবং গুরুত্বপূর্ণ, কিন্তু বর্তমান প্রমাণ দেখায় না যে ব্যাপকভাবে ব্যবহারযোগ্য, প্রস্তুত একটি এক্সপ্লয়েট আছে।
উৎস: Hacker News · সারাংশ: HeadlinesBriefing