২১ অক্টোবর ইউরোপের কয়েকটি দেশের সরকারি সেবা আর পরিচিত কিছু ওয়েবসাইট হঠাৎ ইন্টারনেট থেকে উধাও হয়ে যায়। ফিনল্যান্ড সরকারের নাগরিক পোর্টাল, নেদারল্যান্ডসের সংসদ আর জাতীয় পরিচয়পত্র সেবা, এডিনবরা সিটি কাউন্সিল কিংবা উইকিমিডিয়ার মতো প্রতিষ্ঠানগুলো সাময়িকভাবে নিজেদের সাইট বন্ধ করে দেয়। বিবিসির ডক্টর হু আর দ্য ট্রেইটরসের মতো জনপ্রিয় অনুষ্ঠানের পেজগুলোতেও তখন ঢোকা যাচ্ছিলো না। তখন দ্রুত খবর ছড়িয়ে পড়ে, ইন্টারনেটে বুঝি বড় কোনো বিপর্যয় নেমে এসেছে।

দেখে মনে হচ্ছিলো, সাইবার হামলায় হয়তো একের পর এক সার্ভার ভেঙে পড়েছে। আসল ঘটনা ছিল উল্টো। কোনো হ্যাকার দল এসে এই সাইটগুলো ধসিয়ে দেয়নি। হামলার শিকার হওয়ার আগেই প্রতিষ্ঠানগুলো ঠান্ডা মাথায় নিজেরাই নিজেদের ওয়েবসাইট বন্ধ করে দিয়েছিল।

এর পেছনে ছিল বিশ্বের শীর্ষ সাইবার নিরাপত্তা সংস্থাগুলোর এক জরুরি বার্তা। যুক্তরাষ্ট্রের এনএসএ ও সিআইএসএ, যুক্তরাজ্যের এনসিএসসি আর জাপানের ক্যাবিনেট থেকে সিস্টেম অ্যাডমিনিস্ট্রেটরদের কাছে কড়া নির্দেশ যায়। অবিলম্বে সফটওয়্যার আপডেট করা সম্ভব না হলে সার্ভারগুলো সরাসরি ইন্টারনেট থেকে বিচ্ছিন্ন করে দিতে হবে।

এত বড় সতর্কতার মূলে ছিল পিএইচপি নামের একটি প্রোগ্রামিং ল্যাঙ্গুয়েজ। ব্রাউজারে আমরা যা দেখি, তা কেবল ওয়েবসাইটের বাইরের রূপ। পর্দার আড়ালে ব্যবহারকারীর নির্দেশ বোঝা, ডেটাবেস থেকে তথ্য টানা আর সার্ভারের কাজ চালানোর মূল ইঞ্জিন এই সফটওয়্যার। ইন্টারনেটের প্রায় ৭০% ওয়েবসাইট এই পিএইচপির ওপরেই দাঁড়িয়ে। ওয়ার্ডপ্রেস, ড্রুপাল কিংবা জুমলার মতো প্ল্যাটফর্মগুলোও চলে এর ওপর ভর করে।

সমস্যাটি তৈরি হয়েছিল ইঞ্জিনের একদম গভীরে, মেমোরি সামলানোর জায়গায়। ‘পিএইচপিটুশেল’ নামের এই ত্রুটি ছিল দুটি জটিল দুর্বলতার যোগফল। কোনো ওয়েবসাইটে অস্বাভাবিক বড় কোনো ফাইল বা ডেটা পাঠানো হলে পিএইচপি ইঞ্জিন তা পুরোটা প্রসেস করার আগেই আটকে যেতো। আসল বিপত্তি ঘটত ঠিক এর পরে। ইঞ্জিন যখন বাড়তি মেমোরি খালি করে আগের অবস্থায় ফেরার চেষ্টা করত, তখন মেমোরিতে থাকা অসম্পূর্ণ নির্দেশগুলো ভুলবশত চালু হয়ে যেতো।

এতে কোনো পাসওয়ার্ড বা লগইন ছাড়াই বাইরে থেকে সার্ভার নিয়ন্ত্রণের সুযোগ তৈরি হতো। মেমোরিতে জমে থাকা ডেটাবেস পাসওয়ার্ড কিংবা এনক্রিপশন কি-র মতো গোপন তথ্যও চুরির ঝুঁকিতে পড়ত। সমস্যাটি ঘটছিল ওয়েবসাইটের নিজস্ব সিকিউরিটি প্লাগইন চালু হওয়ার আগেই। দরজায় বাড়তি পাহারা বসিয়ে তাই কাজ হচ্ছিল না, ফাটলটা তৈরি হয়েছিল খোদ ভবনের ভিতের ভেতরে।

সাধারণত সফটওয়্যারে কোনো সমস্যা দেখা দিলে নিরাপত্তা দলগুলো সেটিংস বদলে সাময়িক সমাধান খোঁজে। কিন্তু এবার পিএইচপি ফাউন্ডেশন পরিষ্কার জানিয়ে দেয়, শুধু কনফিগারেশন বদলে এই বিপদ এড়ানো যাবে না। ত্রুটি সারাতে হলে পুরো পিএইচপি সফটওয়্যারের নতুন সিকিউরিটি সংস্করণ ইনস্টল করতেই হবে।

কিন্তু বিশ্বজুড়ে কোটি কোটি সার্ভারে নতুন সফটওয়্যার বসানো কয়েক মিনিটের কাজ নয়। একটি সার্ভার আপডেট করতে গেলে পুরো সিস্টেম আবার পরীক্ষা করে দেখতে হয়, যাতে জরুরি কোনো সেবা বন্ধ না হয়ে যায়। আপডেট দিতে সময় লাগে, আর সেই সময়টুকু সার্ভার উন্মুক্ত রাখলে হামলার ঝুঁকি থেকে যায়। প্রযুক্তি প্রশাসকদের সামনে পথ ছিল দুটি। ঝুঁকি নিয়ে সাইট চালু রেখে হ্যাক হওয়ার জন্য অপেক্ষা করা, নয়তো কয়েক ঘণ্টার জন্য নিজের হাতে সংযোগ কেটে দেওয়া। তারা দ্বিতীয় পথটাই বেছে নেন। সাময়িক ডাউনটাইম মেনে নেওয়া যায়, কিন্তু লাখ লাখ মানুষের গোপন তথ্য অরক্ষিত ফেলে রাখা কোনো দায়িত্বশীল কাজ হতো না।

পরিস্থিতি আরও জটিল হয় ত্রুটির খবর আগেই ফাঁস হয়ে যাওয়ায়। দুর্বলতাটি কিন্তু নতুন ছিল না। ২০১২ সাল থেকে প্রায় ১৪ বছর ধরে পিএইচপির গভীরে এটি লুকিয়ে ছিল। ২০২৪ সালের এক সাধারণ কোড অডিটেও একে কম ঝুঁকিপূর্ণ ভেবে সরিয়ে রাখা হয়েছিল। তবে ২০২৬ সালে এসে আধুনিক এআই টুলের সাহায্যে গবেষকেরা প্রমাণ করেন, এই পুরোনো ত্রুটি দিয়েই পুরো সার্ভার কবজা করে নেওয়া সম্ভব।

কথা ছিল ২২ অক্টোবর প্যাচ তৈরির সব প্রস্তুতি শেষে খবরটি আনুষ্ঠানিকভাবে জানানো হবে। কিন্তু ২০ অক্টোবর ইন্টারনেটের উন্মুক্ত ফোরামে ত্রুটির খুঁটিনাটি ফাঁস হয়ে যায়। মুহূর্তেই পরিস্থিতি বদলে যায়। যারা সাইট পাহারা দিচ্ছিলেন, তাদের হাতে পরিকল্পনা করার বাড়তি সময় ছিল না। তড়িঘড়ি করে ২১ অক্টোবর জরুরি প্যাচ ছাড়া হয়। ক্লাউডফ্লেয়ারের মতো নিরাপত্তা নেটওয়ার্কগুলো ফায়ারওয়ালে ফিল্টার বসিয়ে সাময়িক সুরক্ষার চেষ্টা করেছিল। কিন্তু যেসব সার্ভার সরাসরি ইন্টারনেটে উন্মুক্ত ছিল, সেগুলো বন্ধ করে দেওয়া ছাড়া নিরাপদ কোনো বিকল্প ছিল না।

ঠিক এই সময়েই ঘটনাটি নিয়ে বড় এক ভুল বোঝাবুঝি ছড়ায়। বেশ কিছু সংবাদমাধ্যম বলতে শুরু করে, ইন্টারনেটের ৭০% নাকি হ্যাক হয়ে গেছে। অথচ এই ৭০% ছিল পিএইচপি ব্যবহার করা সাইটের সামগ্রিক অনুপাত, আক্রান্ত ওয়েবসাইটের সংখ্যা নয়। এর ওপর একই সময়ে লন্ডনে গুগল ক্লাউডের এক ডেটা সেন্টারে বিদ্যুৎ বিভ্রাটের কারণে কিছু ব্যাংকের সেবা বন্ধ হয়ে যায়। অনেকেই দুটো ঘটনাকে একসঙ্গে গুলিয়ে ফেলেন। কিন্তু ইন্টারনেটে বাস্তবে কোনো স্বয়ংক্রিয় ধ্বংসযজ্ঞ ঘটেনি।

এই ঘটনায় সাধারণ ইন্টারনেট ব্যবহারকারীদের ডিভাইসে কোনো সরাসরি বিপদ ছিল না। কারও ব্যক্তিগত কম্পিউটার, স্মার্টফোন বা ব্রাউজারে কোনো সমস্যা হয়নি, আর সেখানে নতুন কিছু আপডেট করারও প্রয়োজন ছিল না।

এই ঘটনা সাইবার নিরাপত্তার এক অন্য দিক সামনে এনেছে। কোনো ওয়েবসাইট হঠাৎ অফলাইনে চলে যাওয়া মানেই কিন্তু হ্যাকারদের কাছে হেরে যাওয়া নয়। ইন্টারনেটের গভীরে যখন এমন বড় কোনো ত্রুটি ধরা পড়ে, তখন বড় ক্ষতি আটকানোর জন্য নিজের হাতে সংযোগ বিচ্ছিন্ন করে দেওয়াই সবচেয়ে কার্যকর পথ।

/এসআইএন