ওয়েব অ্যাপ ও সার্ভারে ব্যবহৃত Brotli কমপ্রেশন লাইব্রেরির একটি গুরুতর নিরাপত্তা ত্রুটি কাজে লাগিয়ে হামলার তথ্য সামনে এসেছে। ৩০ অক্টোবর ২০২৬ প্রকাশিত সতর্কতায় সিঙ্গাপুরের সাইবার নিরাপত্তা সংস্থা জানিয়েছে, CVE-2026-111497 নম্বরের ত্রুটিটি Node.js ও Microsoft .NET-সহ একাধিক সফটওয়্যারকে প্রভাবিত করতে পারে। আক্রান্ত সংস্করণ ব্যবহারকারীদের দ্রুত নিরাপত্তা আপডেট দেওয়ার পরামর্শ দেওয়া হয়েছে।
Brotli কী, আর সমস্যাটি কোথায়?
Brotli হলো তথ্য সংকুচিত করার একটি প্রযুক্তি। ওয়েবসাইট ও অ্যাপ থেকে তথ্য পাঠানোর সময় এর সাহায্যে ফাইলের আকার কমানো যায়। কিন্তু এর ডিকোডারে একটি ত্রুটির কারণে বিশেষভাবে তৈরি ক্ষতিকর সংকুচিত তথ্য প্রক্রিয়াকরণের সময় সফটওয়্যারের মেমোরিতে অনাকাঙ্ক্ষিত পরিবর্তন ঘটতে পারে।
ফলে আক্রান্ত অ্যাপ বন্ধ হয়ে যাওয়া, মেমোরি থেকে সংবেদনশীল তথ্য বেরিয়ে যাওয়া, এমনকি কিছু পরিস্থিতিতে দূর থেকে ক্ষতিকর কোড চালানোর ঝুঁকি তৈরি হয়। তবে কোনো সার্ভারে Brotli ইনস্টল থাকলেই সেটি আক্রান্ত হবে, এমন নয়। ঝুঁকি তৈরি হয় যখন দুর্বল সংস্করণের সফটওয়্যার আক্রমণকারীর নিয়ন্ত্রণে থাকা সংকুচিত তথ্য খুলে পড়ে।
হামলার খবর কখন নিশ্চিত হলো?
Node.js প্রকল্প ২১ অক্টোবর ত্রুটিটির জন্য নিরাপত্তা আপডেট প্রকাশ করে। এরপর ২৭ অক্টোবর যুক্তরাষ্ট্রের সাইবার নিরাপত্তা সংস্থা CISA ত্রুটিটিকে বাস্তবে হামলায় ব্যবহৃত দুর্বলতার তালিকায় যুক্ত করে। ৩০ অক্টোবর সিঙ্গাপুরের Cyber Security Agency নতুন সতর্কতা প্রকাশ করে দ্রুত প্যাচ দেওয়ার আহ্বান জানায়। সংস্থাটির হিসাবে ত্রুটিটির CVSS 3.1 স্কোর ১০-এর মধ্যে ৯.৮।
কোন সফটওয়্যার ও সংস্করণে সতর্ক থাকতে হবে?
Node.js-এর 22.x শাখায় 22.23.4-এর আগের, 24.x শাখায় 24.22.1-এর আগের এবং 26.x শাখায় 26.12.1-এর আগের সংস্করণগুলো আক্রান্ত। ইতিমধ্যে 24.22.2 ও 26.13.0-এর মতো পরবর্তী সংস্করণও প্রকাশিত হয়েছে। তাই নিজের ব্যবহৃত শাখার সর্বশেষ নিরাপত্তা আপডেট নেওয়াই ভালো।
Microsoft .NET-এর 8, 9, 10 ও 11 শাখার কিছু সংস্করণও ঝুঁকির আওতায় রয়েছে। এছাড়া Brotli ব্যবহার করে এমন অন্য সফটওয়্যার ও প্যাকেজেও প্রভাব থাকতে পারে। কোন সংস্করণে সংশোধন এসেছে, তা সংশ্লিষ্ট নির্মাতার নিরাপত্তা বিজ্ঞপ্তি থেকে মিলিয়ে নিতে হবে।
ওয়েবসাইট ও অ্যাপ পরিচালনাকারীদের করণীয়
প্রথমে সার্ভারে ব্যবহৃত Node.js-এর সংস্করণ যাচাই করুন। টার্মিনালে node -v লিখে সংস্করণ দেখা যায়। এরপর সংশ্লিষ্ট নিরাপত্তা আপডেট ইনস্টল করে অ্যাপ পুনরায় চালু করুন। Docker বা অন্য কনটেইনারে পুরোনো সফটওয়্যার থাকলে শুধু হোস্ট সার্ভার আপডেট না করে কনটেইনার ইমেজও নতুন করে তৈরি ও চালু করতে হবে।
অ্যাপের সঙ্গে Brotli লাইব্রেরি আলাদাভাবে যুক্ত থাকলে সেটিও পরীক্ষা করা প্রয়োজন। শুধু ফায়ারওয়াল বা ওয়েব অ্যাপ্লিকেশন ফায়ারওয়ালের ওপর নির্ভর করা যথেষ্ট নয়। সফটওয়্যারের সংশোধিত সংস্করণ ব্যবহারই মূল সুরক্ষা।
বাংলাদেশি ব্যবহারকারীদের জন্য এর অর্থ কী?
বাংলাদেশে Node.js বা .NET দিয়ে তৈরি ওয়েব অ্যাপ, অনলাইন সেবা ও ব্যাকএন্ড পরিচালনাকারী প্রতিষ্ঠানগুলোর জন্য সতর্কতাটি প্রাসঙ্গিক। সাধারণ ওয়েবসাইট ব্যবহারকারীদের আলাদা করে কোনো অ্যাপ ইনস্টল করার প্রয়োজন নেই। আবার শুধু WordPress বা PHP দিয়ে তৈরি ওয়েবসাইট হলেই এই নির্দিষ্ট Node.js ত্রুটিতে আক্রান্ত, এমন সিদ্ধান্তও ঠিক নয়। প্রকৃত ঝুঁকি নির্ভর করে সার্ভারে কোন সফটওয়্যার ও লাইব্রেরির কোন সংস্করণ চলছে তার ওপর।
