অফিসের meeting, online class কিংবা client-এর সঙ্গে কথা বলতে Zoom ব্যবহার করেন? তাহলে Zoomsday নামে পরিচিত একটি নিরাপত্তা ত্রুটির ঘটনা আপনার জানা দরকার। কারণ এটি সাধারণ phishing attack-এর মতো ছিল না, যেখানে কাউকে আগে সন্দেহজনক link-এ click করাতে বা file download করাতে হয়।
গবেষকদের দেখানো পরিস্থিতিতে একই Zoom meeting-এ থাকা একজন আক্রমণকারী বিশেষভাবে তৈরি data পাঠিয়ে অন্য participant-এর Zoom client-এ ক্ষতিকর code চালানোর সুযোগ তৈরি করতে পারতেন। অর্থাৎ আক্রান্ত ব্যক্তির আলাদা করে কিছু করার প্রয়োজন ছিল না।
স্বস্তির বিষয় হলো, Zoom ইতিমধ্যেই সংশ্লিষ্ট নিরাপত্তা ত্রুটিগুলোর জন্য update প্রকাশ করেছে। তবে ঘটনাটির সবচেয়ে আলোচিত দিক অন্য জায়গায়—A Security-এর Zoomsday গবেষণা অনুযায়ী, publicly available AI model ব্যবহার করে গবেষকেরা ২০টিরও কম prompt এবং ২৪ ঘণ্টার মধ্যে vulnerability থেকে কার্যকর exploit তৈরির পর্যায়ে পৌঁছেছিলেন।
TechnicalBD-এর সাইবার নিরাপত্তা বিভাগে software vulnerability, malware এবং online security নিয়ে আরও প্রয়োজনীয় লেখা পাওয়া যাবে।
সমস্যাটা ছিল Zoom-এর Annotation Feature-এ
Zoom meeting-এ screen share করার সময় কোনো কিছু চিহ্নিত করা, আঁকা বা highlight করার জন্য Annotation feature ব্যবহার করা যায়। ব্যবহারকারীর কাছে এটি খুব সাধারণ একটি সুবিধা হলেও পেছনে অন্য participant-এর পাঠানো annotation data Zoom client-কে process করতে হয়।
A Security-এর বিস্তারিত গবেষণায় দেখানো হয়েছে, এই data processing-এর একটি memory-corruption vulnerability কাজে লাগিয়ে receiving Zoom client-এ code execution-এর পথ তৈরি করা সম্ভব হয়েছিল।
সবচেয়ে চিন্তার বিষয় ছিল এর zero-click nature। আক্রান্ত ব্যক্তিকে কোনো attachment খুলতে, website-এ যেতে কিংবা আলাদা করে permission দিতে হতো না; meeting-এ আসা বিশেষভাবে তৈরি data Zoom client নিজেই process করত।
Zoom-এর official Security Bulletins-এ সংশ্লিষ্ট vulnerability-গুলোর জন্য security update প্রকাশ করা হয়েছে। এর মধ্যে CVE-2026-53413 ছিল buffer overwrite vulnerability, যেটিকে Zoom High severity হিসেবে চিহ্নিত করেছে।
| বিষয় | তথ্য |
|---|---|
| পরিচিত নাম | Zoomsday |
| আক্রান্ত অংশ | Zoom Annotation |
| আক্রমণের ধরন | Zero-click code execution |
| গুরুত্বপূর্ণ CVE | CVE-2026-53413 |
| AI ব্যবহার | ২০টিরও কম Prompt |
| গবেষণার সময় | ২৪ ঘণ্টার কম |
| বর্তমান অবস্থা | Security update প্রকাশিত |
AI-এর ২০টিরও কম Prompt কেন এত গুরুত্বপূর্ণ
Software-এ bug খুঁজে পাওয়া এবং সেই bug কাজে লাগিয়ে কার্যকর exploit তৈরি করা এক বিষয় নয়। দ্বিতীয় কাজটি অনেক বেশি technical এবং দক্ষ security researcher-এরও যথেষ্ট সময় লাগতে পারে।
Zoomsday-এর ঘটনাটি তাই শুধু Zoom-এর একটি security flaw হিসেবে গুরুত্বপূর্ণ নয়। এটি দেখিয়েছে, AI cybersecurity research-এর জটিল কাজের গতি কতটা বাড়িয়ে দিতে পারে।
A Security জানিয়েছে, publicly available AI models ব্যবহার করে ২০টিরও কম prompt-এর মধ্যে গবেষণাটি vulnerability analysis থেকে working exploit-এর দিকে এগিয়েছে। পুরো প্রক্রিয়ায় ২৪ ঘণ্টারও কম সময় লেগেছে।
তবে এটাকে “AI নিজে Zoom hack করেছে” বলা ঠিক হবে না। একজন দক্ষ security researcher পুরো প্রক্রিয়াটি পরিচালনা করেছেন; AI ছিল তার কাজ দ্রুত করার একটি শক্তিশালী tool।
এর ভালো ও খারাপ—দুই দিকই আছে। Security researcher-রা AI ব্যবহার করে দ্রুত vulnerability খুঁজে software company-কে জানাতে পারবেন, আবার একই ধরনের ক্ষমতা অপরাধীদের হাতে গেলে নতুন দুর্বলতা কাজে লাগানোর সময়ও কমে যেতে পারে।
Zoom ব্যবহার করলে এখন কী করবেন?
সবচেয়ে প্রয়োজনীয় কাজটি খুব সহজ—Zoom Workplace-এর latest version ব্যবহার করুন। Zoom-এর security guidance অনুযায়ী latest release ব্যবহার করলে নতুন security fixes পাওয়া যায়।
বিশেষ করে office-এর পুরোনো PC বা এমন laptop যেখানে কয়েক মাস পরপর Zoom ব্যবহার করেন, সেখানে version check করুন। নিয়মিত ব্যবহার করা device auto-update হলেও কম ব্যবহৃত computer-এ পুরোনো Zoom client পড়ে থাকতে পারে।
অপরিচিত meeting-এ যোগ দেওয়ার সময় স্বাভাবিক সতর্কতাও প্রয়োজন। তবে Zoomsday-এর মতো vulnerability-এর ক্ষেত্রে শুধু সন্দেহজনক link এড়িয়ে চলা যথেষ্ট ছিল না, কারণ সমস্যাটি Zoom client-এর ভেতরে incoming annotation data process করার সঙ্গে সম্পর্কিত ছিল।
তাই এই নির্দিষ্ট ঝুঁকির ক্ষেত্রে patched Zoom client ব্যবহার করাই সবচেয়ে গুরুত্বপূর্ণ সুরক্ষা।
বাংলাদেশের Zoom User-দের জন্য কী শেখার আছে?
বাংলাদেশে online class, freelancing, remote office, client meeting এবং webinar-এর জন্য Zoom নিয়মিত ব্যবহার হয়। অনেকের computer-এ Zoom একবার install করার পর দীর্ঘদিন আর update করা হয় না, আর এখানেই পুরোনো software অপ্রয়োজনীয় security risk তৈরি করতে পারে।
তবে Zoomsday নিয়ে আতঙ্কিত হওয়ার প্রয়োজন নেই। এই vulnerability ব্যবহার করে সাধারণ Zoom user-দের বিরুদ্ধে ব্যাপক attack হয়েছে—এমন নির্ভরযোগ্য প্রমাণ সামনে আসেনি, আর Zoom ইতিমধ্যেই security fix প্রকাশ করেছে।
ঘটনাটির বড় শিক্ষা বরং AI নিয়ে। Security researcher-রা এখন AI-এর সাহায্যে জটিল vulnerability অনেক দ্রুত বিশ্লেষণ করতে পারছেন। ভবিষ্যতে software company-গুলোকেও তাই দুর্বলতা খুঁজে বের করা এবং patch প্রকাশের ক্ষেত্রে আরও দ্রুত হতে হবে।
সাধারণ ব্যবহারকারীর জন্য বিষয়টা অনেক সহজ। Software updated রাখা, অচেনা meeting ও file নিয়ে সতর্ক থাকা এবং security update পিছিয়ে না দেওয়াই সবচেয়ে কাজের অভ্যাস। AI দিয়ে exploit যত sophisticated-ই হোক, অনেক ক্ষেত্রে সময়মতো দেওয়া একটি update-ই তার বিরুদ্ধে সবচেয়ে সহজ প্রতিরক্ষা।
