काठमाडौं एक दशकभन्दा लामो समयदेखि इन्टरनेटका धेरैजसो वेबसाइट निर्माणमा प्रयोग हुँदै आएको प्रविधिमा रहेका गम्भीर सुरक्षा कमजोरीहरू पत्ता लाग्न सकेका थिएनन्।

तर, कृत्रिम बुद्धिमत्ता (एआई) को सहयोगमा ती कमजोरीहरू उजागर भएपछि विश्वव्यापी साइबर सुरक्षा सतर्कता जारी गरिएको छ।

यी कमजोरीहरू PHP नामक प्रोग्रामिङ भाषामा रहेका छन्। सन् २००० को दशकदेखि विश्वभर वेबसाइट निर्माण गर्न प्रयोग हुँदै आएको PHP को पूरा नाम PHP: Hypertext Preprocessor हो।

बुधबार ती कमजोरी सार्वजनिक भएपछि त्यसबाट उत्पन्न हुन सक्ने जोखिम नियन्त्रण गर्न विभिन्न देशका सरकार तथा साइबर सुरक्षा निकायहरू सक्रिय भएका छन्। उनीहरूले वेबसाइट सञ्चालकहरूलाई तत्काल आपत्कालीन सुरक्षा अपडेट (प्याच) स्थापना गर्न वा आवश्यक परे आफ्ना वेबसाइट अस्थायी रूपमा बन्द गर्न आग्रह गरेका छन्।

यी कमजोरी पत्ता लगाउन सहयोग गर्ने साइबर सुरक्षा कम्पनी विज (Wiz) ले एआईको सहयोगमा अहिलेसम्म पत्ता लागेका कमजोरीमध्ये यी सबैभन्दा गम्भीर रहेको बताएको छ।

त्यस्तै, यी कमजोरी पत्ता लगाउन आफ्नो प्रविधि प्रयोग भएको ओपनएआईले यस खोजलाई पछिल्लो समयका सबैभन्दा प्रभावशाली साइबर सुरक्षा घटनामध्ये एक भनेको छ।

के हो सुरक्षा कमजोरी?

धेरै मानिसले PHP का बारेमा नसुनेका हुन सक्छन्। तर, उनीहरूले दैनिक प्रयोग गर्ने इन्टरनेट सेवामध्ये धेरै PHP मा आधारित छन्।

अनलाइन पसल, विकिपिडिया र वर्डप्रेसजस्ता वेबसाइट सञ्चालनमा PHP को महत्वपूर्ण भूमिका छ। वर्डप्रेस आफैँमा वेबसाइट तथा ब्लग निर्माण र व्यवस्थापन गर्न प्रयोग गरिने सामग्री व्यवस्थापन प्रणाली हो।

साइबर सुरक्षा कम्पनी गोरिल्ला साइबर सेक्युरिटीका प्रमुख कार्यकारी अधिकृत पल स्पेनका अनुसार, कुनै व्यक्ति विकिपिडियाजस्तो वेबसाइटमा जाँदा प्रयोगकर्तालाई आवश्यक जानकारी सङ्कलन गरी वेबमा पढ्न मिल्ने रूपमा प्रस्तुत गर्न PHP कोडले सहयोग गर्छ।

तर, यसमा रहेको सुरक्षा कमजोरीका कारण आक्रमणकारीले कुनै प्रमाणीकरणबिना प्रभावित वेब सर्भर नियन्त्रणमा लिन र संवेदनशील विवरण चोरी गर्न सक्ने जोखिम देखिएको छ। यसले PHP प्रयोग गरेर निर्माण गरिएका धेरै वेबसाइटलाई जोखिममा पारेको छ।

स्पेनका अनुसार एआईले यस्ता साइबर आक्रमणलाई अझ सहज र तीव्र बनाउन सक्छ। उनले यस कमजोरीबाट लाखौँ वेबसाइट प्रभावित हुन सक्ने अनुमान गरेका छन्।

एडिलेड विश्वविद्यालयकी साइबर सुरक्षा अनुसन्धानकर्ता जिल स्लेका अनुसार, ह्याकर वा कुनै देशले यस कमजोरीको दुरुपयोग गरी वेबसाइटबाट निजी विवरण चोरी गरे त्यसले गम्भीर क्षति निम्त्याउन सक्छ।

कुन–कुन वेबसाइट प्रभावित भएका छन्?

यस सुरक्षा सतर्कताका कारण गेमिङ प्लेटफर्मदेखि सरकारी पोर्टल र अनलाइन फोरमसम्मका विभिन्न सेवामा विश्वव्यापी प्रभाव परेको छ।

अनलाइन विश्वकोश विकिपिडियाको सञ्चालक संस्था विकिमिडियाले पनि सावधानीस्वरूप आफ्ना केही प्रणाली बन्द गरेको छ।

फिनल्यान्ड सरकार, एडिनबरा सिटी काउन्सिल र बीबीसीका केही वेबसाइट तथा पृष्ठहरू अस्थायी रूपमा अफलाइन गरिएका छन्। नेदरल्यान्ड्सको साइबर सुरक्षा निकायले पनि आफ्नो वेबसाइट बन्द गरेको छ।

युरोपेली कम्प्युटर इमर्जेन्सी रेस्पोन्स टिम (CERT-EU) को आग्रहपछि स्वीट्जरल्यान्डको जेनेभा विश्वविद्यालयको वेबसाइटसमेत बुधबार अस्थायी रूपमा बन्द गरिएको थियो।

स्कटल्यान्डका विभिन्न सार्वजनिक निकाय, स्थानीय परिषद् तथा स्वास्थ्य बोर्डहरूले पनि आफ्ना वेबसाइट अफलाइन गरेका छन्।

विशेषगरी सीमित स्रोतसाधन भएका साना संस्थाका वेबसाइटमा नियमित सुरक्षा व्यवस्थापन नहुँदा जोखिम अझ बढी हुन सक्ने विज्ञहरूले चेतावनी दिएका छन्।

न्यु साउथ वेल्स विश्वविद्यालय, सिड्नीका साइबर सुरक्षा अनुसन्धानकर्ता सलिल कान्हेरेका अनुसार, सुरक्षा कमजोरीसम्बन्धी प्राविधिक विवरण सार्वजनिक भइसकेकाले आगामी केही सातामा यसको दुरुपयोग गर्ने प्रयास बढ्न सक्छ।

सुरक्षा कमजोरी सार्वजनिक भएपछि के भयो?

PHP विकासकर्ताहरूले बुधबार वर्षौँदेखि सफ्टवेयरमा लुकेर रहेका सुरक्षा कमजोरी समाधान गर्न आवश्यक सुरक्षा प्याच जारी गरेका छन्।

PHP विकास टोलीले सबै प्रयोगकर्तालाई तत्काल आफ्नो सफ्टवेयर अपडेट गर्न आग्रह गरेको छ।

विश्वभरका सरकारी निकाय तथा साइबर सुरक्षा संस्थाहरूले पनि वेबसाइट सञ्चालकलाई आफ्ना प्रणाली सुरक्षित बनाउन निर्देशन दिएका छन्।

अमेरिकी राष्ट्रिय सुरक्षा एजेन्सी (NSA) ले PHP प्रयोग गर्ने सबै संस्थालाई तत्काल सुरक्षा प्याच स्थापना गर्न नसके आफ्ना प्रणाली अफलाइन गर्न आग्रह गरेको छ। यस कमजोरीले प्रणालीको डेटाबेसमा आक्रमण गर्न प्रत्यक्ष बाटो खोल्न सक्ने चेतावनी पनि दिइएको छ।

एजेन्सीले अमेरिकी सरकारी विभाग तथा निकायहरूमा रहेका प्रणालीमा तत्काल सुरक्षा प्याच लागू गर्नुपर्ने आवश्यकता औँल्याएको छ।

बेलायतको राष्ट्रिय साइबर सुरक्षा केन्द्रले पनि यस्तै निर्देशन दिँदै आक्रमणकारीले प्रणालीमा लुकेर प्रवेश गर्ने माध्यम (ब्याकडोर) स्थापना गरेको छ कि छैन भनेर जाँच गर्न आग्रह गरेको छ।

युरोपेली सङ्घ, सिङ्गापुर र अस्ट्रेलियाका साइबर सुरक्षा निकायहरूले पनि यस्तै चेतावनी जारी गरेका छन्।

जापानकी प्रधानमन्त्री साने ताकाइचीले सार्वजनिक रूपमा पहुँच गर्न सकिने वेबसाइटहरू PHP मा सञ्चालन भइरहेका छन् कि छैनन् भनेर जाँच गर्न आग्रह गरेकी छन्।

उनले सामाजिक सञ्जाल एक्समा लेख्दै सबैलाई तत्काल आवश्यक कदम चाल्न अनुरोध गरेकी छन्। समयमै सुरक्षा प्याच लागू गर्न कठिन भए वेबसाइट अस्थायी रूपमा बन्द गर्नेलगायतका उपाय अपनाउनु जोखिम घटाउने प्रभावकारी तरिका हुन सक्ने उनको भनाइ छ।

प्रविधि कम्पनीहरूले पनि आफ्ना प्रणाली सुरक्षित बनाउन तीव्र प्रयास गरिरहेका छन्।

अनलाइन व्यापारिक कम्पनी अमेजनले PHP सम्बन्धी सुरक्षा कमजोरी सार्वजनिक हुनुभन्दा केही दिनअघि नै आफ्नो प्रणालीमाथि पटक–पटक आक्रमणको प्रयास भएको जनाएको छ। सम्भावित आक्रमणकारीले उक्त कमजोरीबारे कसरी जानकारी पाए भन्ने विषय भने स्पष्ट भएको छैन।

एआईले कसरी पत्ता लगायो सुरक्षा कमजोरी?

साइबर सुरक्षा कम्पनी क्यालिफ र विजका अनुसन्धानकर्ताहरूले उन्नत एआई उपकरण प्रयोग गरेर यी कमजोरी पत्ता लगाएका हुन्।

यस्ता उपकरणले सफ्टवेयरको कोड विश्लेषण गरी सम्भावित सुरक्षा त्रुटि पत्ता लगाउन सक्छन्। यस प्रक्रियामा एआईले मानिस वा पुराना प्रणालीको तुलनामा धेरै छिटो काम गर्न सक्छ।

अनुसन्धानकर्ता सलिल कान्हेरेका अनुसार, आधुनिक सफ्टवेयर अत्यन्त जटिल भएकाले केही सुरक्षा कमजोरी वर्षौँसम्म पत्ता नलागी रहन सक्छन्।

उनका अनुसार, यी कमजोरी सिर्जना गर्ने त्रुटिहरू नयाँ थिएनन्। परिवर्तन भनेको तिनलाई पत्ता लगाउन सक्ने क्षमतामा आएको सुधार हो।

सुरक्षा कमजोरीसम्बन्धी विवरण यसै साता अनलाइनमा सार्वजनिक भएपछि PHP विकासकर्ताहरूले तत्काल सुरक्षा जानकारी सार्वजनिक गर्दै समस्या समाधानका लागि प्याच जारी गर्नुपरेको थियो।

ओपनएआईले आफ्नो ब्लगमा यस घटनाले एआईले सुरक्षा कमजोरी पत्ता लगाउन सक्ने क्षमता देखाउनुका साथै आक्रमणकारीलाई पनि छिटो साइबर आक्रमणका उपकरण र विधि विकास गर्न सहयोग पुर्‍याउन सक्ने जोखिम उजागर गरेको जनाएको छ।

च्याटजीपीटी निर्माता ओपनएआईले PHP प्रणाली सुरक्षित छ कि छैन भनेर जाँच गर्न सहयोग गर्ने एउटा कार्यक्रमसमेत जारी गरेको बताएको छ।

क्विन्सल्यान्ड विश्वविद्यालयको साइबर अनुसन्धान केन्द्रका रायन कोका अनुसार, विगतमा सफ्टवेयर निर्माण गर्दा सुरक्षा पक्षभन्दा कार्यक्षमतामा बढी ध्यान दिइने गरेकाले यस्ता कमजोरी उत्पन्न भएका हुन्।

कसरी सुरक्षित रहने?

वेबसाइट सञ्चालकहरूलाई PHP को पछिल्लो सुरक्षित संस्करण प्रयोग गर्न र उपलब्ध सुरक्षा प्याच तत्काल स्थापना गर्न आग्रह गरिएको छ।

गोरिल्ला साइबर सेक्युरिटीका प्रमुख कार्यकारी अधिकृत पल स्पेनका अनुसार, अधिकांश प्राविधिक टोलीका लागि सफ्टवेयर अपडेट गर्नु सामान्य प्रक्रिया हो।

अमेरिकी राष्ट्रिय सुरक्षा एजेन्सीले आगामी केही सातासम्म विशेष सतर्कता अपनाउन र सफ्टवेयर विक्रेताबाट जारी हुने सुरक्षा अपडेट नियमित रूपमा अनुगमन गर्न आग्रह गरेको छ।

एजेन्सीका अनुसार, प्रभावित प्रणालीसँग सम्बन्धित सुरक्षा प्याच समयमै लागू गर्नु अत्यन्त महत्वपूर्ण छ।

साइबर सुरक्षा जोखिम कम गर्ने मुख्य जिम्मेवारी वेबसाइट सञ्चालकहरूको भए पनि प्रयोगकर्ताले समेत प्रभावित सेवाबाट जारी हुने सुरक्षा सूचनामा ध्यान दिनुपर्ने अनुसन्धानकर्ता कान्हेरेले बताएका छन्। आवश्यक परे पासवर्ड परिवर्तन गर्नेसम्बन्धी निर्देशन पालना गर्न पनि उनले सुझाव दिएका छन्।

यस घटनालाई आधार बनाएर ठगी गर्ने प्रयास हुन सक्ने भएकाले प्रयोगकर्ताले फिसिङ सन्देशप्रति समेत सचेत रहनुपर्ने उनको चेतावनी छ। अपरिचित लिंकमा क्लिक गर्ने, शङ्कास्पद इमेल खोल्ने वा व्यक्तिगत विवरण माग्ने सन्देशमा विश्वास गर्ने कार्यबाट जोगिनु आवश्यक छ।

बीबीसीबाट अनुवादित