PHP2Shell হলো PHP কোরে সম্প্রতি ঠিক করা গুরুতর দুর্বলতার একটি গোষ্ঠী, যার তীব্রতা CVSS 9.2 পর্যন্ত পৌঁছায়। এগুলো প্রমাণীকরণহীন আক্রমণকারীদের কোড চালাতে বা সংবেদনশীল প্রসেস মেমরি প্রকাশ করতে দিতে পারে। PHP প্রায় 70% ওয়েবসাইট চালায়, যার মধ্যে WordPress, Drupal এবং Wikipedia-র MediaWiki-র মতো প্ল্যাটফর্মও রয়েছে।
Wiz Research-এর গবেষক Sagi Tzadik, Shir Tamari, Nir Ohfeld এবং Tomer Schwartz, Open AI Codex Security (Amy Burnett) এবং অন্যদের সাথে দায়িত্বশীল প্রকাশের (responsible disclosure) কাজ করেছেন। দুর্বলতাগুলো PHP-এর ভেতরেই রয়েছে, তাই অ্যাপ্লিকেশনের কোড নিরাপদ থাকলেও ওয়েবসাইট আক্রান্ত হতে পারে। প্রভাবিত PHP সংস্করণে চলা একটি সাধারণ "Hello World" অ্যাপ্লিকেশনও উন্মুক্ত হওয়ার জন্য যথেষ্ট। সর্বশেষ প্যাচ করা PHP রিলিজ চালানো সাইটগুলো সুরক্ষিত। PHP দল দ্রুত সাড়া দিয়েছে এবং ব্যাপক সমাধানের জন্য গবেষকদের সাথে ঘনিষ্ঠভাবে কাজ করেছে।
দুর্বলতাগুলো দুটি শ্রেণিতে পড়ে, যেগুলো CVE-2026-109618 এবং CVE-2026-109619 নামে ট্র্যাক করা হচ্ছে। প্রথমটিতে out-of-memory দুর্নীতি রয়েছে, যা PHP web worker হিসেবে প্রমাণীকরণ ছাড়াই কোড চালানোর সুযোগ দিতে পারে। দ্বিতীয়টিতে অনুরোধগুলোর মধ্যে পুরোনো (stale) global state রয়েছে, যা use-after-free ঘটিয়ে worker মেমরি প্রকাশ করতে বা কোড চালাতে পারে। গবেষকরা পরীক্ষার সময় তাদের সর্বশেষ container image ব্যবহার করে WordPress, Drupal এবং Joomla-র বিরুদ্ধে প্রমাণীকরণ-পূর্ব remote code execution দেখিয়েছেন এবং অ্যাপ্লিকেশন-নিরপেক্ষ মেমরি প্রকাশ দেখিয়েছেন।
আক্রমণকারীরা সার্ভারের নিয়ন্ত্রণ নিতে পারে, সংবেদনশীল তথ্যে প্রবেশ করতে পারে, অথবা অন্য অনুরোধ থেকে পাসওয়ার্ড, প্রমাণীকরণ টোকেন, API key এবং certificate পড়তে পারে। মেমরি প্রকাশ কোড চালানোর আগেই তথ্য চুরি করতে পারে, ফলে কার্যকলাপ শনাক্ত করা আরও কঠিন হয়। একমাত্র সম্পূর্ণ সমাধান হলো প্রতিটি runtime-এ একটি সংশোধিত PHP রিলিজ ইনস্টল করা এবং Apache, PHP-FPM ও দীর্ঘসময় চলা সব PHP worker পুনরায় চালু করা। কোনো অ্যাপ্লিকেশন আপডেট করলে তার নিচের PHP runtime আপডেট হয় না।
উৎস: Hacker News · সারাংশ: HeadlinesBriefing