PHP PHPMailer のコマンドインジェクションの脆弱性（CVE-2016-10033）

何が起きた

PHP でメールを送るための部品 PHPMailer に、送信者のアドレスに細工した文字を入れると、メール送信のコマンドに余計な指定を渡され、任意の（攻撃者が選んだ）プログラムを実行されるおそれがある弱点が見つかりました。この弱点は実際の攻撃で悪用されていることが確認されています。NVD の評価では、離れた場所からネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。攻撃に失敗した場合は、サービスが止まることもあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

PHPMailer を組み込んだ Web サイトやアプリが対象です。NVD の説明では、5.2.18 より前の PHPMailer が影響を受けるとされています。PHPMailer の説明では、PHP の mail() を使う isMail() の送り方で、利用者が入力したアドレスを送信者（From）にしている場合に起きるとされています。

何をすればいい

PHPMailer の公式の案内を確認し、更新してください。5.2.18 はこの弱点を直す重要な更新として出されましたが、その後、似た弱点 CVE-2016-10045 が見つかり、5.2.20 で対策が入っています。そのため 5.2.20 以降にしておくと安心です。PHPMailer の説明では、利用者が入力したアドレスを送信者にしないことや、SMTP で送る方法（isSMTP）ならこの問題は起きないことも案内されています。

やることチェックリスト

• PHPMailer を 5.2.20 以降に更新する
• 入力されたアドレスを送信者にしない
• 送信方法を isSMTP に切り替える

用語メモ

SMTP

メールを送るときに使われる、決まった手順（通信のルール）です。

コマンド

コンピューターに仕事をさせるための命令です。