N環球 
"PHP2Shell": PHP দুটি জটিল CVSS-9.2 ত্রুটির জন্য জরুরি প্যাচ পাঠায় যা অননুমোদিত রিমোট কোড এক্সিকিউশন সক্ষম করে
উইজ, ক্যালিফ এবং ওপেনএআই-এর গবেষকদের দ্বারা পাওয়া PHP2Shell (CVE-2026-109618, CVE-2026-109619) সম্মিলিতভাবে ডাব করা দুটি জটিল ত্রুটির সমাধান করে PHP 21 অক্টোবর জরুরি আপডেট প্রকাশ করেছে। সমন্বিত প্রকাশের আগে বিস্তারিত ফাঁস হয়েছে, এবং ক্লাউডফ্লেয়ার প্যাচ পাঠানোর আগে বাস্তব আক্রমণ পর্যবেক্ষণ করেছে। ওয়েব অনুরোধ পরিবেশন প্রতিটি PHP ইনস্টলেশন প্রভাবিত হয়.
কেন এটা গুরুত্বপূর্ণ
এটি বছরের মধ্যে সবচেয়ে গুরুতর ওয়েব দুর্বলতাগুলির মধ্যে একটি। পিএইচপি বিশ্বের ওয়েবসাইটগুলির একটি বড় অংশকে ক্ষমতা দেয় (ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা), এবং এই সময় ত্রুটিটি ভাষা ইঞ্জিনেই বসে — এমনকি একটি নিখুঁতভাবে লিখিত সাইটও কোনও সুরক্ষা দেয় না। আক্রমণকারীর কোন হিসাব লাগে না; একটি একক অনুরোধ সার্ভারে কোড নির্বাহ করতে পারে।
এটি নিরাপত্তা গবেষণায় এআই-এর দ্বৈত ভূমিকার এখনও তীক্ষ্ণ দৃষ্টান্ত: উইজ বলেছেন যে ত্রুটিগুলি কয়েক দশক ধরে লুকিয়ে ছিল, এবং শোষণের প্রদর্শনের জন্য 'মানব গবেষকরা কার্যত যা অর্জন করতে পারে তার প্রান্তে' একটি চেইন প্রয়োজন। ফ্রন্টিয়ার এআই মডেলগুলি সেই বাধাকে যথেষ্ট পরিমাণে হ্রাস করেছে, একটি দীর্ঘস্থায়ী ত্রুটিকে একটি কাজের শোষণে পরিণত করেছে।
সম্পূর্ণ প্রতিবেদন
PHP-এর নিরাপত্তা দল 21 অক্টোবর CVE-2026-109618 এবং CVE-2026-109619 ফিক্সিং জরুরী আপডেট প্রকাশ করেছে, উভয়ই CVSS v4.0 9.2 রেট করেছে এবং সম্মিলিতভাবে PHP2Shell নাম দিয়েছে। যখন একটি অনুরোধ অস্বাভাবিকভাবে শেষ হয় তখন উভয়ই দূষিত মেমরি অবস্থা থেকে উদ্ভূত হয় এবং দূরবর্তী কোড কার্যকর করার জন্য অননুমোদিত আক্রমণকারীদের দ্বারা উভয়ই ব্যবহার করা যেতে পারে।
PHP-FPM, Apache mod_php, php-cgi, FrankenPHP এবং LiteSpeed সহ ওয়েব অনুরোধ পরিবেশনকারী প্রতিটি PHP ইনস্টলেশন প্রভাবিত হয়৷ দলটি বলেছে mod_php-এর জন্য ঝুঁকি সবচেয়ে বেশি, যেখানে কোনও অ্যাপ্লিকেশন কোড চালানোর আগে একটি প্রদর্শিত শোষণ ট্রিগার করে। একটি ত্রুটি এমনকি একজন আক্রমণকারীকে অন্য অনুরোধের পাসওয়ার্ড, টোকেন এবং API কী ধারণ করে কর্মী মেমরি পড়তে দিতে পারে।
উইজ, ক্যালিফ, ওপেনএআই (এর প্যাচ দ্য প্ল্যানেট প্রোগ্রামের অংশীদার) এবং কোয়ার্কল্যাবের গবেষকরা ত্রুটিগুলি খুঁজে পেয়েছেন। পরিকল্পিত সমন্বিত প্রকাশের আগে 20 অক্টোবর প্রযুক্তিগত বিশদ ফাঁস হয়ে যায়, যা PHP-কে একদিন আগে প্রকাশ করতে প্ররোচিত করে। ক্লাউডফ্লেয়ার বলেছে যে 21 অক্টোবর প্যাচ শিপড এবং WAF নিয়ম সক্রিয় করার আগে এটি তার গ্রাহকদের বিরুদ্ধে আক্রমণের ট্র্যাফিক পর্যবেক্ষণ করেছে। বেশ কয়েকটি ডাচ এবং জাপানি সাইট (ডাচ ডিজিআইডি পরিষেবা এবং প্রতিনিধিদের ওয়েবসাইট সহ) সতর্কতা হিসাবে অফলাইনে চলে গেছে।
অ্যাডমিনদের অবিলম্বে PHP 8.5.12, 8.4.27, 8.3.36 বা 8.2.35 আপডেট করার জন্য অনুরোধ করা হচ্ছে; PHP 7 এবং তার আগে আর অফিসিয়াল আপডেট পাবেন না।
💬 Comments
No comments yet. Be the first!