হ্যাকাররা এখন এআই স্পিডে আসে, আপনার প্যাচ কি এখনো সাপ্তাহিক?
এআই এজেন্ট দিয়ে হ্যাক এখন ১০ ঘন্টার কম সময়ে শেষ হচ্ছে। ছোট টিম, ওয়ার্ডপ্রেস আর লারাভেল সাইটের জন্য একটা প্র্যাক্টিক্যাল সিকিউরিটি চেকলিস্ট।
"শুক্রবার ফ্রি হয়ে প্লাগিন আপডেট দিবো", এই কথাটা এখন আর সেফ না।
আগে একটা হ্যাক মানে ছিলো কয়েকজন মানুষ, কয়েক সাপ্তাহ ধরে চুপচাপ ঘাটাঘাটি, তারপর আসল কাজ। মাঝখানে আমাদের হাতে কিছুটা সময় থাকতো, প্যাচ আসলো, দুই-চারদিন পরে আপডেট দিলাম, তেমন কোন সমস্যা হলো না। এখন সেই সময়টা প্রায় নাই হয়ে যাচ্ছে। কারন হ্যাকারদের হাতেও এখন এআই এজেন্ট, আর এজেন্ট ঘুমায় না, কফিও খায় না।
গত এক মাসে এই নিয়ে তিনটা খবর এসেছে, তিনটাই একই দিকে ইঙ্গিত করছে। আজকের ব্লগে সেগুলো সহজভাবে বলবো, তারপর ছোট টিম, ওয়ার্ডপ্রেস/লারাভেল সাইটের মালিক আর আমাদের মতো ফ্রিল্যান্সারদের জন্য একটা প্র্যাক্টিক্যাল চেকলিস্ট দিবো।
১. দুই সাপ্তাহের কাজ ১০ ঘন্টায়ঃ
পালো অল্টো নেটওয়ার্কস এর রিসার্চ টিম Unit 42, ২ সেপ্টেম্বর ২০২৬ একটা ইনভেস্টিগেশন রিপোর্ট পাবলিশ করেছে। সেখানে দেখা যাচ্ছে, একজন এটাকার ফ্রন্টিয়ার এআই মডেল আর কয়েকটা স্পেশালাইজড এজেন্ট দিয়ে একটা এন্টারপ্রাইজ নেটওয়ার্কে ঢুকেছে, আর পুরো অপারেশন শেষ করেছে ১০ ঘন্টারও কম সময়ে। ডার্ক রিডিং এর রিপোর্ট অনুযায়ী, এই সাইজের একটা এটাকে সাধারনত প্রায় দুই সাপ্তাহ লাগে।
ঘটনাটা মোটামুটি এরকমঃ
- ঢোকার রাস্তাঃ একটা পাবলিক API এন্ডপয়েন্ট। সেখান থেকে ভিতরে টানেল করে একটা রিকন এজেন্ট ছেড়ে দেয়া হয়, যে ইন্টারনাল মাইক্রোসার্ভিস গুলা ম্যাপ করে।
- পাসওয়ার্ড শিকারঃ সাব-এজেন্টরা কোড রিপোজিটরি ঘেটে হার্ডকোড করা টোকেন আর সার্ভিস পাসওয়ার্ড খুজে বের করে।
- রুট এক্সেসঃ সেই টোকেন দিয়ে সিক্রেট ম্যানেজমেন্ট সিস্টেমে ঢুকে মাস্টার এডমিন ক্রেডেনশিয়াল, তারপর রুট।
- শেষ ধাপঃ CI/CD পাইপলাইন দখল, ক্লাউড এক্সেস কি চুরি। এমনকি ভিকটিমের নিজের এআই এন্ডপয়েন্ট গুলাকেই পরের এটাকের ইনফ্রাস্ট্রাকচার বানানো হয়।
মজার (আসলে ভয়ের) ব্যাপার হলো, এখানে কোন নতুন জিরো-ডে লাগে নি। Unit 42 নিজেই বলছে, এফিশিয়েন্সি এসেছে এআই এর কো-অর্ডিনেশন থেকে। মানুষটা শুধু টার্গেট সেট করেছে, বাকি মনিটর-ইভ্যালুয়েট-এক্ট-রি-প্ল্যান সব এজেন্টরা রিয়েল টাইমে করেছে। শেষে এজেন্ট দিয়ে ভিকটিমের সিকিউরিটি নিয়ে ৮০ পেজের একটা অডিট রিপোর্টও বানিয়ে রেখেছে। চোর চুরি করে যাওয়ার সময় বাড়ির মালিককে ইন্সপেকশন রিপোর্ট দিয়ে গেলো, অবস্থা চিন্তা করেন।
নোটঃ শুরুতে কিছু মিডিয়া এটাকে র্যানসমওয়্যার এটাক বলেছিলো, পরে ৩ সেপ্টেম্বর Unit 42 আপডেট দিয়ে ক্লিয়ার করেছে যে এটা একটা ইনট্রুশন (intrusion), র্যানসমওয়্যার না।
২. একজন অপারেটর, একসাথে ৮টা এজেন্টঃ
২০ আগস্টের দিকে ডার্ক রিডিং এর বরাতে আরেকটা খবর আসে। এশিয়া-প্যাসিফিক অঞ্চলের কিছু সরকারি সংস্থার উপর একটা ক্যাম্পেইনে একজন অপারেটর একটা মাল্টি-এজেন্ট ফ্রেমওয়ার্ক দিয়ে একসাথে সর্বোচ্চ ৮টা এআই এজেন্ট চালিয়েছে। কেউ রিকন করছে, কেউ দুর্বলতা খুজছে, কেউ এটাক করছে, কেউ রেজাল্ট দেখে পরের চেস্টা আরো ভালো করছে।
এই ক্যাম্পেইনটা প্রথম ধরে Dream নামের একটা সিকিউরিটি ফার্ম, পরে তাইওয়ানের মিনিস্ট্রি অফ ডিজিটাল এফেয়ার্স ১৩ আগস্ট সেটা কনফার্ম করে। রিপোর্ট অনুযায়ী জুলাই এর ৪ দিনে ১২টা ওয়েভে ২১টা সিস্টেম ম্যাপ করা হয়েছে, ৮৫টা একাউন্ট ক্র্যাক হয়েছে, আর ২,৫০০+ পার্সোনেল রেকর্ড বের করে নিয়েছে।
এখানে যেটা আমাদের মতো ওয়েব ডেভেলপারদের জন্য গুরুত্বপুর্ন, সেটা হলো এজেন্টরা কি দিয়ে ঢুকেছে। রিপোর্টে আছেঃ
- জাভাস্ক্রিপ্ট বান্ডেল ঘেটে API এন্ডপয়েন্ট, OAuth ক্লায়েন্ট আইডি আর Keycloak কনফিগ বের করা।
- অথেনটিকেশন ছাড়া খোলা API।
- একটা পোর্টালে পাসওয়ার্ড স্প্রে, আর CAPTCHA সলভ করতে OCR।
alg: noneদেয়া ফেক JWT এক্সেপ্ট করে নেয়া।
খেয়াল করেন, একটাও "হলিউড মুভি" টাইপের হ্যাক না। সবই অই পুরানো ভুল, খোলা API, দুর্বল পাসওয়ার্ড, ভুল JWT ভেরিফিকেশন। পার্থক্য একটাই, এখন এগুলো খুজে বের করতে মানুষ লাগে না।
এট্রিবিউশন নিয়ে রিসার্চাররা নিজেরাই সাবধান, সিম্পলিফাইড চাইনিজ জানা অপারেটরের ইঙ্গিত পেলেও কোন নির্দিষ্ট গ্রুপ বা সরকারের সাথে লিংক করে নি। সো আমিও অই দিকে যাবো না, আমাদের টপিক হলো স্পিড।
৩. ক্রোমের এই বছরের ৭ নাম্বার জিরো-ডেঃ
৯ সেপ্টেম্বরের দিকে গুগল ক্রোমের আরেকটা জিরো-ডে ফিক্স করেছে, CVE-2026-87491। এটা V8 (ক্রোমের জাভাস্ক্রিপ্ট ইঞ্জিন) এ একটা আউট-অফ-বাউন্ডস রাইট বাগ, CVSS স্কোর 8.8। গুগল নিজেই বলেছে এর এক্সপ্লয়েট অলরেডি ইন দ্য ওয়াইল্ড আছে। ফিক্স এসেছে Chrome 153.0.8010.36 আর এর পরের ভার্সনে।
২০২৬ সালে এটা ক্রোমের ৭ নাম্বার এক্টিভলি এক্সপ্লয়েটেড জিরো-ডে। আর সেপ্টেম্বর মাসেই এটা দ্বিতীয়টা।
যারা জিরো-ডে জানেন না তাদের জন্য, জিরো-ডে মানে এমন একটা বাগ যেটা ডেভেলপার জানার আগেই বা ফিক্স আসার আগেই হ্যাকাররা ইউজ করা শুরু করে দিয়েছে। মানে ডিফেন্ডারের হাতে "শুন্য দিন"।
এখন বলতে পারেন, ভাই, ক্রোমের বাগ দিয়ে আমার ওয়ার্ডপ্রেস সাইটের কি? সম্পর্ক আছে। আপনার সাইটের wp-admin, cPanel, হোস্টিং ড্যাশবোর্ড, ক্লায়েন্টের ক্লাউড একাউন্ট, সব কিছু আপনি অই ব্রাউজার দিয়েই খোলেন। ব্রাউজার যদি পুরানো থাকে, দরজা যতো মজবুতই হোক, চাবি তো আপনার পকেটেই।
তিনটা খবর মিলালে কি দাড়ায়?
সহজ কথায় বললে, প্যাচ উইন্ডো ছোট হয়ে যাচ্ছে। একটা দুর্বলতা পাবলিক হওয়া থেকে সেটা এক্সপ্লয়েট হওয়া পর্যন্ত যে সময়টা আমরা পেতাম, এআই এজেন্ট সেটা ঘন্টায় নামিয়ে আনছে। আর এজেন্টরা বড় কোম্পানি বাছাই করে না, ইন্টারনেটে যা খোলা পায় সেটাই টেস্ট করে। আগস্টের শুরুতে ডার্ক রিডিং এ আসা আরেকটা রিপোর্টে দেখা গেছে, জুলাই এর একটা ক্যাম্পেইনে একটা এআই এজেন্ট প্রায় হাজারখানেক ভিকটিম হিট করেছিলো, যার বেশীরভাগই ছিলো ছোট-মাঝারি বিজনেসের ওয়েবসাইট আর এপ সার্ভার।
আমাদের দেশে একটা কমন চিন্তা আছে, "আমার সাইট ছোট, আমাকে কে হ্যাক করবে?" ভাই, এজেন্টের কাছে আপনার সাইট আর বড় কোম্পানির সাইট একই জিনিস, জাস্ট এনাদার আইপি এড্রেস। মাছের বাজারে জাল ফেলার মতো, যা উঠে।
বাই দা ওয়ে, ২০১৪ সালে আমি স্লাইডার রেভুলেশন প্লাগিনের একটা মারাত্মক বাগ নিয়ে লিখেছিলাম। তখন সেই বাগ ফিক্স হতে মাস লেগেছিলো, আর আমরাও আরাম করে আপডেট দিতাম। সেই দিন শেষ।
ছোট টিম আর ফ্রিল্যান্সারদের জন্য চেকলিস্টঃ
এবার আসি আসল কথায়। বাজেট কম, টিম ছোট, সিকিউরিটি এক্সপার্ট নাই, এই অবস্থায় কি করা উচিৎ? আমি সাজেস্ট করবো নিচের জিনিসগুলো, যতোটা সম্ভব অটোমেটিক করে ফেলেন। কারন মেশিন স্পিডের এটাকের সাথে হাতে-কলমে পাল্লা দেয়া ইম্পসিবল।
ক. অটো আপডেট, না পারলে ২৪-৪৮ ঘন্টার রুলঃ
- ওয়ার্ডপ্রেস কোরঃ মাইনর/সিকিউরিটি রিলিজের অটো আপডেট বন্ধ করে থাকলে আবার চালু করুন।
- প্লাগিন ও থিমঃ ওয়ার্ডপ্রেস 5.5 থেকে প্রতিটা প্লাগিনের পাশে "Enable auto-updates" অপশন আছে। ভালো মেইন্টেইন করা প্লাগিনে এটা অন করে দিন। যেগুলোতে ভয় পান, সেগুলোর জন্য নিজের কাছে রুল রাখুন, সিকিউরিটি আপডেট আসলে ২৪-৪৮ ঘন্টার মধ্যে।
- অব্যবহৃত প্লাগিনঃ ডিএক্টিভেট না, ডিলিট। নালড প্লাগিন/থিম ইউজ করলে আজই বাদ দেন, অই জিনিস নিজেই একটা খোলা দরজা।
- লারাভেলঃ CI তে বা ডিপ্লয়ের আগে
composer auditরান করান, কোন প্যাকেজে জানা দুর্বলতা থাকলে ধরা পরবে। ফ্রন্টএন্ডের জন্যnpm audit। গিটহাবে থাকলে Dependabot অন করে রাখুন। - সার্ভারঃ উবুন্টু VPS হলে
unattended-upgradesদিয়ে সিকিউরিটি প্যাচ অটো করে দিন। PHP এর এমন ভার্সন চালান যেটা এখনো সিকিউরিটি সাপোর্ট পায়। - ব্রাউজারঃ ক্রোম রিস্টার্ট না করলে আপডেট এপ্লাই হয় না। ৪০টা ট্যাব খুলে সাপ্তাহের পর সাপ্তাহ বসে থাকলে, জানেন তো কি হচ্ছে।
খ. WAF, মানে দরজায় একটা দারোয়ানঃ
- সাইটের সামনে Cloudflare বসান। ফ্রি প্ল্যানেও একটা ফ্রি ম্যানেজড রুলসেট আছে যেটা কমন এক্সপ্লয়েট আটকায়, সাথে রেট লিমিটিং আর বট প্রোটেকশনের কিছু অপশন।
- ওয়ার্ডপ্রেসে Wordfence বা এই টাইপের প্লাগিন ফায়ারওয়াল হিসাবে ভালো। শুধু মাথায় রাখবেন, Wordfence এর ফ্রি ভার্সনে নতুন ফায়ারওয়াল রুল ৩০ দিন দেরিতে আসে। এআই স্পিডের যুগে ৩০ দিন অনেক লম্বা সময়, সো আপডেট দেয়ার অভ্যাস টা আসল ডিফেন্স, WAF হলো সাপোর্ট।
wp-login.phpআর/wp-adminএ রেট লিমিট, পারলে 2FA। লারাভেলে লগিন রাউটেthrottleমিডলওয়্যার।
গ. সিক্রেট আর এক্সেস, Unit 42 এর কেসের আসল শিক্ষাঃ
.envফাইল কখনো গিটে না। পুরানো কমিটে কোন কি/পাসওয়ার্ড চলে গেলে ডিলিট করলে হবে না, সেই কি রোটেট করুন।- প্রোডাকশনে
APP_DEBUG=false। ডিবাগ অন থাকলে এরর পেজে অনেক কিছু দেখা যায় যেটা দেখা উচিৎ না। - API তে অথেনটিকেশন ছাড়া কোন এন্ডপয়েন্ট আছে কিনা চেক করুন। JWT ইউজ করলে লাইব্রেরি যেন নির্দিষ্ট এলগরিদম ছাড়া এক্সেপ্ট না করে,
noneতো কোনভাবেই না। - জাভাস্ক্রিপ্ট বান্ডেলে কোন সিক্রেট কি রাখবেন না। ধরে নিন, যা ব্রাউজারে যায়, সেটা সবাই পড়তে পারে।
- ক্লায়েন্টের হোস্টিং, ডোমেইন, ক্লাউড, সব একাউন্টে 2FA। কাজ শেষ হলে নিজের এক্সেস রিমুভ করার কথা বলুন, অথবা নিজেই সরিয়ে দিন।
- এআই টুলের API কি (OpenAI, Anthropic, যেটাই ইউজ করেন) গুলোর লিস্ট রাখুন, স্পেন্ডিং লিমিট দিন। Unit 42 এর কেসে ভিকটিমের নিজের এআই এন্ডপয়েন্টই এটাকারের টুল হয়ে গেছিলো।
ঘ. ব্যাকআপ, শেষ ভরসাঃ
- ৩-২-১ রুলঃ ৩টা কপি, ২ ধরনের যায়গায়, ১টা সার্ভারের বাইরে। হোস্টিং এর নিজের ব্যাকআপের উপর ১০০% ভরসা করবেন না, সার্ভার গেলে অইটাও যেতে পারে।
- ওয়ার্ডপ্রেসে UpdraftPlus এর মতো প্লাগিন দিয়ে ক্লাউড স্টোরেজে অটো ব্যাকআপ। লারাভেলে
spatie/laravel-backupপ্যাকেজ দিয়ে ডাটাবেজ আর ফাইল শিডিউল করে S3 বা এই টাইপের স্টোরেজে পাঠানো যায়। - আর সবচেয়ে গুরুত্বপুর্ন, মাঝে মাঝে রিস্টোর টেস্ট করুন। যে ব্যাকআপ কখনো রিস্টোর করে দেখেন নি, সেটা ব্যাকআপ না, সেটা আশা।
ঙ. মনিটরিং, কিছু হলে যেন আগে জানেনঃ
- আপটাইম মনিটরিং (UptimeRobot বা এই টাইপের কোন সার্ভিস) দিয়ে সাইট ডাউন হলে সাথে সাথে নোটিফিকেশন।
- ওয়ার্ডপ্রেসে একটা এক্টিভিটি লগ প্লাগিন, কে কখন লগিন করলো, কোন নতুন এডমিন ইউজার তৈরি হলো কিনা।
- লগে অদ্ভুত প্যাটার্ন খেয়াল করুন। Unit 42 নিজেই বলছে, হঠাৎ একসাথে অনেক API রিকোয়েস্ট, খুব দ্রুত 401 থেকে 200 তে বদলে যাওয়া রেসপন্স, একই সময়ে অনেক লগিন, এগুলো এজেন্টের হাতের ছাপ।
- একটা ছোট প্ল্যান লিখে রাখুন, হ্যাক হলে প্রথম ৩০ মিনিটে কি করবেন। কোন পাসওয়ার্ড/কি রোটেট করবেন, কাকে জানাবেন, কোথা থেকে রিস্টোর করবেন। প্যানিকের সময় চিন্তা করার সময় থাকে না।
চ. ফ্রিল্যান্সারদের জন্য এক্সট্রা কথাঃ
অনেকেই সাইট বানিয়ে ডেলিভারি দিয়ে চলে আসেন, তারপর আর কেউ আপডেট দেয় না। ক্লায়েন্টকে শুরুতেই ক্লিয়ার করে বলুন, আপডেট আর ব্যাকআপ কার দায়িত্ব। চাইলে এটাকে একটা ছোট মান্থলি মেইন্টেনেন্স সার্ভিস হিসাবে অফার করতে পারেন। ক্লায়েন্টের সাইটও সেফ থাকলো, আপনার একটা রেগুলার ইঙ্কামও হলো। দুইজনেরই প্লাস পয়েন্ট।
উপসংহারঃ
এআই এজেন্ট দিয়ে এটাক আসলেই কতোটা "অটোনোমাস", সেটা নিয়ে এক্সপার্টরাও এখনো তর্ক করছেন, আর এট্রিবিউশন নিয়েও সবাই সাবধান। সো শতভাগ নিশ্চয়তা দিয়ে কিছুই বলা যাচ্ছে না। কিন্তু, একটা জিনিস পরিস্কার, এটাকের স্পিড বেড়ে গেছে, আর বেশীরভাগ ঢোকার রাস্তা এখনো অই পুরানো ভুল গুলাই, আপডেট না দেয়া, খোলা API, কোডে রেখে দেয়া পাসওয়ার্ড।
মোদ্দা কথা, এজেন্ট যদি ঘন্টায় কাজ করে, আমাদের প্যাচও সাপ্তাহিক থেকে ঘন্টা বা দিনে নামাতে হবে। আর সেটা হাতে করে সম্ভব না, অটোমেশন দিয়েই করতে হবে। আজকেই অন্তত একটা কাজ করুন, অটো আপডেট অন করেন অথবা একটা ব্যাকআপ রিস্টোর টেস্ট করেন।
চেস্টা করেছি সহজভাবে বুঝানোর জন্য। যদি বুঝতে কোন সমস্যা হয়, নিচে কমেন্ট সেকশন ২৪ ঘন্টা খোলা আছে। ভুল-ভ্রান্তি নিজগুনে ক্ষমা করবেন। শুভকামনা রইলো।
এখনও কোনো মন্তব্য নেই। প্রথম মন্তব্যটি আপনার হোক!