Trellix 2026 সোর্স কোডের নিরাপত্তা লঙ্ঘন

যাচাইকৃত পরিসর হলো Trellix-এর সোর্স কোড রিপোজিটরির একটি অংশে অননুমোদিত প্রবেশ। কোন প্রকল্প বা ব্রাঞ্চ দেখা হয়েছে, ফাইল ডাউনলোড করা হয়েছে কি না, কিংবা যে কোডে প্রবেশ করা হয়েছিল তা হালনাগাদ ছিল বা প্রোডাকশন পরিবেশে ব্যবহৃত হচ্ছিল কি না, প্রতিষ্ঠানটি তা জানায়নি। “একটি অংশ” বলতে Trellix-এর সব সোর্স কোড উন্মুক্ত হয়েছে, এমনটি বোঝায় না।

Trellix গ্রাহকের তথ্য, ব্যক্তিগত তথ্য, কর্মীদের নথি, ক্রেডেনশিয়াল, অ্যাক্সেস কী বা হুমকি-সংক্রান্ত টেলিমেট্রির নিরাপত্তা বিঘ্নিত হওয়ার বিষয়টি নিশ্চিত করেনি। তাই এসব তথ্যের ধরন তালিকায় যোগ করা হয়নি। 50,000-এর বেশি ব্যবসায়িক ও সরকারি গ্রাহক থাকার তথ্য প্রতিষ্ঠানের আকার বোঝায়, এই ঘটনার পরিসর নয়। প্রতিষ্ঠানটি ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের যাচাইযোগ্য মোট সংখ্যা প্রকাশ করেনি। সংখ্যা প্রকাশ না করার অর্থ এই নয় যে ঘটনাটির কোনো প্রভাব ছিল না; এর অর্থ হলো, প্রকাশ্য উৎসগুলো থেকে নির্ভরযোগ্য মোট সংখ্যা পাওয়া যায় না।

Trellix প্রথমবার ঘটনাটি জনসমক্ষে প্রকাশ করে 2026 সালের মে মাসের শুরুতে। জুলাইয়ের হালনাগাদ বিবৃতিতে প্রতিষ্ঠানটি জানায়, ফরেনসিক তদন্ত শেষ হয়েছে এবং 18 এপ্রিল 2026-এর পর কোনো সফল অননুমোদিত কার্যকলাপের প্রমাণ পাওয়া যায়নি। প্রথম প্রবেশের সুনির্দিষ্ট তারিখ প্রকাশ করা হয়নি।

15 জুলাইয়ের হালনাগাদ বিবৃতিতে বলা হয়, নিয়ন্ত্রণ ও নির্মূলের পর্যায়গুলো সম্পন্ন হয়েছে। পরবর্তী এই তথ্য মে মাসের প্রাথমিক বিবৃতির তুলনায় বেশি নিশ্চিত অবস্থান তুলে ধরে; তখন বলা হয়েছিল, তদন্ত চলছিল। যে কোডে প্রবেশ করা হয়েছিল তার বিস্তারিত তালিকা এবং প্রথম প্রবেশের প্রযুক্তিগত পদ্ধতি এখনো প্রকাশ করা হয়নি।

Trellix তার সোর্স কোড প্রকাশ বা বিতরণের প্রক্রিয়া প্রভাবিত হওয়ার কোনো প্রমাণ পায়নি। অর্থাৎ তদন্তে কোডে অননুমোদিত পরিবর্তন বা গ্রাহকদের সরবরাহ করা সফটওয়্যারে ক্ষতিকর উপাদান ঢোকানোর কোনো ঘটনা শনাক্ত হয়নি। প্রতিষ্ঠানটি তার সোর্স কোড অপব্যবহারেরও কোনো প্রমাণ পায়নি। সফটওয়্যার সরবরাহ শৃঙ্খলের ঝুঁকি মূল্যায়নের ক্ষেত্রে এগুলো গুরুত্বপূর্ণ ও যাচাইকৃত সীমারেখা।

“কোনো প্রমাণ পাওয়া যায়নি” কথাটি গাণিতিকভাবে প্রতিটি সম্ভাব্য ঝুঁকি নাকচ করে না; এটি সম্পন্ন হওয়া তদন্তের ফলাফল জানায়। তাত্ত্বিকভাবে, রিপোজিটরিতে প্রবেশ কোনো পক্ষকে পণ্যের স্থাপত্য বা হুমকি শনাক্তকরণের যুক্তি বিশ্লেষণ করতে সাহায্য করতে পারে। তবে Trellix এমন কোনো বিশ্লেষণ বা পরবর্তী আক্রমণের বিষয়টি নিশ্চিত করেনি। LeakData সম্ভাব্য ঝুঁকির পরিস্থিতিকে বাস্তবে ঘটে যাওয়া অপব্যবহার হিসেবে উপস্থাপন করে না।

সোর্স কোড থেকে নিরাপত্তা পণ্যের তথ্যপ্রবাহ, বিভিন্ন উপাদানের সম্পর্ক এবং প্রকৌশলগত সিদ্ধান্ত সম্পর্কে জানা যেতে পারে। তাত্ত্বিকভাবে, অননুমোদিত প্রবেশ দুর্বলতা নিয়ে গবেষণা, প্রতিরক্ষা এড়ানো বা সামাজিক প্রকৌশলে সহায়তা করতে পারে। সেই ঝুঁকি বাস্তবে রূপ নেবে কি না, তা নির্ভর করে কোডের পরিসর, কোডটি কতটা হালনাগাদ এবং অননুমোদিত পক্ষটি সত্যিই তা কপি করেছে কি না, এসবের ওপর। এই বিবরণগুলো প্রকাশ করা হয়নি, তাই গ্রাহকদের ওপর কোনো সুনির্দিষ্ট প্রভাব হয়েছে বলে সিদ্ধান্ত নেওয়া যায় না।

শুধু এই ঘটনার কারণে Trellix-এর গ্রাহকদের ধরে নেওয়া উচিত নয় যে তাদের প্রযুক্তিগত পরিবেশের নিরাপত্তা বিঘ্নিত হয়েছে। বিতরণ প্রক্রিয়া প্রভাবিত হয়নি, এই অনুসন্ধানের ফল পণ্যের আপডেটে ক্ষতিকর কোড ঢোকানো হয়েছে এমন দাবিকে সমর্থন করে না। তবু নিয়মিত প্রতিরক্ষামূলক চর্চার অংশ হিসেবে প্রতিষ্ঠানগুলো ডিজিটাল স্বাক্ষরযুক্ত আপডেট যাচাই করতে পারে, Trellix-এর পরামর্শমূলক বিজ্ঞপ্তি নজরে রাখতে পারে এবং সহায়তা বা আপডেট-সংক্রান্ত অপ্রত্যাশিত বার্তার সত্যতা আনুষ্ঠানিক যোগাযোগমাধ্যমে নিশ্চিত করতে পারে।

Trellix ঘটনা মোকাবিলার প্রক্রিয়া চালু করে, শীর্ষস্থানীয় ফরেনসিক বিশেষজ্ঞদের যুক্ত করে এবং আইনশৃঙ্খলা রক্ষাকারী সংস্থাকে জানায়। জুলাইয়ে প্রতিষ্ঠানটি জানায়, বাস্তবায়িত নিয়ন্ত্রণমূলক ব্যবস্থা ও চলমান পর্যবেক্ষণের মাধ্যমে নিয়ন্ত্রণ ও নির্মূলের লক্ষ্য অর্জিত হয়েছে। 18 এপ্রিলের পর কোনো সফল অননুমোদিত কার্যকলাপ না পাওয়াও সেই পর্যবেক্ষণ থেকে উঠে আসা আরেকটি সুনির্দিষ্ট ফলাফল।

প্রতিষ্ঠানটি অননুমোদিত পক্ষের পরিচয়, প্রথম প্রবেশের পদ্ধতি, সংশ্লিষ্ট ক্রেডেনশিয়াল, সম্ভাব্য মুক্তিপণের দাবি বা যে ফাইলগুলোতে প্রবেশ করা হয়েছিল তার তালিকা প্রকাশ করেনি। প্রতিষ্ঠানের নিজস্ব তথ্য বা গ্রাহকের তথ্য সম্পর্কে করা প্রশ্নের জবাবেও অতিরিক্ত বিবরণ দেয়নি।

এটি একটি প্রতিষ্ঠানের সোর্স কোড রিপোজিটরির নিরাপত্তা লঙ্ঘনের নিশ্চিত ঘটনা, ব্যক্তির সংখ্যাভিত্তিক ব্যক্তিগত তথ্য ফাঁসের হিসাব নয়। ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা শূন্য দেখানোর অর্থ এই নয় যে ঘটনাটি বানানো বা গুরুত্বহীন; বরং এটি ব্যক্তিভিত্তিক পরিসরের অনুপস্থিতি বোঝায়। গ্রাহকের সংখ্যা, সুরক্ষিত এন্ডপয়েন্টের সংখ্যা এবং বিশ্বজুড়ে Trellix-এর কার্যক্রমের আকারকে ক্ষতিগ্রস্ত রেকর্ডের মোট সংখ্যা হিসেবে ব্যবহার করা যায় না। তথ্যের ধরন কেবল রিপোজিটরির নিশ্চিত পরিসরকেই নির্দেশ করে।

যাচাইকৃত সিদ্ধান্ত হলো, একটি অননুমোদিত পক্ষ Trellix-এর সোর্স কোড রিপোজিটরির একটি অংশে প্রবেশ করেছিল, ঘটনাটি নিয়ন্ত্রণে আনা ও নির্মূল করার কাজ সম্পন্ন হয়েছে এবং 18 এপ্রিলের পর কোনো সফল অননুমোদিত কার্যকলাপ পাওয়া যায়নি। প্রকাশ ও বিতরণের প্রক্রিয়া প্রভাবিত হওয়া বা কোড অপব্যবহারের কোনো প্রমাণ নেই। গ্রাহক বা ব্যক্তিগত তথ্যের ওপর কোনো প্রভাবের বিষয়টিও নিশ্চিত করা হয়নি।