php2shell: What Is This Critical Vulnerability and Are You at Risk?

Timeline of the php2shell Vulnerability

১ আগস্ট ২০২৬ তারিখে Calif, OpenAI এবং Wiz-এর একদল গবেষক কৃত্রিম বুদ্ধিমত্তার সাহায্যে প্রথমবার এই ত্রুটি শনাক্ত করেন। পরবর্তীতে ২০ অক্টোবর ২০২৬ তারিখে PHP কর্তৃপক্ষ আনুষ্ঠানিকভাবে এটিকে দুটি গুরুতর দুর্বলতা—CVE-2026-109618 এবং CVE-2026-109619 হিসেবে প্রকাশ করে। এর CVSS 4.0 স্কোর ৯.২ নির্ধারিত হয়েছে, যা থেকে বোঝা যায় আক্রমণকারীরা কোনো প্রমাণীকরণ ছাড়াই মেমরি দুর্নীতির সুযোগ নিয়ে সিস্টেমে প্রবেশ করতে সক্ষম।

আশ্চর্যের বিষয় হলো, অফিসিয়াল প্যাচ আসার চার দিন আগেই ১৭ অক্টোবর Amazon Threat Intelligence তাদের MadPot টেলিমেট্রিতে এর প্রাথমিক আক্রমণ প্রচেষ্টা শনাক্ত করেছিল। এমনকি ২১ অক্টোবর প্যাচ পৌঁছানোর প্রায় সাড়ে পাঁচ ঘণ্টা পূর্বে প্রথম এক্সপ্লয়েট রিকোয়েস্ট নেটওয়ার্কে লক্ষ্য করা যায়। ফিলিপাইনের একটি সরকারি সংস্থার উন্মুক্ত পরিকাঠামো থেকে ৬৮.৮ জিবি ডেটা চুরির ঘটনাতেও এই শোষণের সুস্পষ্ট প্রমাণ মিলেছে, যা Palo Alto Networks-এর ২৮ অক্টোবরের সক্রিয় আক্রমণের তথ্যের সাথে পুরোপুরি মিলে যায়।

Global Impact and HTTP2Shell

এই সংকটের পাশাপাশি গুগল-এর ওপেন সোর্স Brotli ডিকোডার-এ 'HTTP2Shell' (CVE-2026-111497) নামক আরও একটি ত্রুটি সামনে আসে। এটি মূলত একটি আউট-অফ-বাউন্ডস রাইট দুর্বলতা, যা .NET এবং PHP Windows সংস্করণকে ব্যাপকভাবে প্রভাবিত করেছে। অক্টোবর মাসেই মার্কিন সাইবার নিরাপত্তা সংস্থা CISA এই দুটি ত্রুটিকে তাদের KEV ক্যাটালগে অন্তর্ভুক্ত করে জরুরি সতর্কতা জারি করে। বর্তমানে বিশ্বজুড়ে প্রায় ৩ কোটি ২০ লাখ আনপ্যাচড সার্ভার এই ঝুঁকির মধ্যে রয়েছে।

পরিস্থিতি নিয়ন্ত্রণে আনতে ২১ অক্টোবর ২০২৬ তারিখে ১৪:০০ UTC সময়ে PHP কোর সংস্করণগুলোর (8.2.35, 8.3.36, 8.4.27 এবং 8.5.12) জন্য জরুরি সমাধান প্রকাশ করা হয়। Microsoft .NET-এর জন্য প্যাচ দিয়েছে এবং QNAP ২২ অক্টোবর তাদের ক্লাউড প্ল্যাটফর্ম সুরক্ষায় আনুষ্ঠানিক ব্যবস্থা নিয়েছে। উইন্ডোজের জন্য PHP কর্তৃপক্ষ '-1' যুক্ত করে Brotli উপাদানটির সংশোধিত সংস্করণ প্রকাশ করেছে, তাই আইটি বিশেষজ্ঞদের উচিত দ্রুত তাদের সিস্টেম আপডেট করা।