PHPMailer یکی از محبوب ترین کتابخانه های منبع باز PHP برای ارسال ایمیل است که توسط بیش از 9 میلیون کاربر در سراسر جهان استفاده می شود. میلیون ها وب سایت PHP و برنامه های کاربردی وب، سیستم های مدیریت محتوا و فریم ورک های محبوب، از جمله وردپرس، جوملا ، دروپال و Yii Framework و... از کتابخانه PHPMailer برای ارسال ایمیل استفاده میکنند.

در تاریخ 2016/12/22 برابر با 2 دی 1395 آسیب پذیری خطرناکی (CVE-2016-10033) در این کتابخانه کشف شد که به مهاجم اجازه اجرای کد از راه دور را میدهد.

2 روز بعد از ثبت این آسیب پذیری نسخه اصلاح شده این کتابخانه (5.2.18) منتشر شد. تمام وب سایت ها و برنامه های کاربردی که از PHPMailer نسخه های قدیمی تر از 5.2.18 استفاده میکنند ممکن است این آسیب پذیری را داشته باشند.

طبق معمول کشف هر آسیب پذیری با انتشار نسخه جدید این کتابخانه آسیب پذیری ذکر شده  ترمیم گردید اما قضیه به همین جا ختم نمی شود...

دقیقا 2 روز بعد از انتشار نسخه ترمیم شده این کتابخانه در تاریخ 2016/12/26 به دلیل عدم ترمیم صحیح این آسیب پذیری مجددا آسیب پذیری جدید دیگری (CVE-2016-10045) کشف و به ثبت رسید که دقیقا همان قسمت از کدها مربوط به آسیب پذیری CVE-2016-10033 را هدف قرار میداد.

با کشف این آسیب پذیری ظرف مدت 2 روز نسخه جدید این کتابخانه (5.2.20) مجددا اصلاح و منتشر شد. تمام وب سایت ها و برنامه های کاربردی که از PHPMailer نسخه های قدیمی تر از 5.2.20 استفاده میکنند ممکن است این آسیب پذیری را داشته باشند.

این آسیب پذیری ها و اصلاح ناموفق آن در وهله اول توجه هکر ها به این کتابخانه رو افزایش داد و باعث شد تا آسیب پذیری دیگری در تاریخ 2017/01/09 در این کتابخانه کشف شود.

همچنین آسیب پذیری این کتابخانه باعث شد تا هکرها کتابخانه های مشابه را مورد بررسی قرار دهند. نتیجه این بررسی ها به کشف آسیب پذیری های CVE-2016-10034 مربوط به Zend Framework / zend-mail < 2.4.11 و آسیب پذیری CVE-2016-10074 مربوط به Swift Mailer < 5.4.5 منجر شد.

از آن جایی که تمامی آسیب پذیری های ذکر شده مربوط به اجرای کد از راه دور می باشد و حتی اکسپلویت هایی نیز برای این آسیب پذیری ها نوشته و منتشر شده است. لذا به تمام دست اندرکاران توصیه می شود تا در صورت استفاده از کتابخانه های مذکور، سیستم های مدیریت محتوا و... آن را به آخرین نسخه بروزرسانی کنند.

نسخه های تحت تأثیر سیستم های مدیریت محتوای محبوب وردپرس و جوملا
وردپرس        نسخه های قدیمی تر از 4.7.1
جوملا        نسخه های 1.5.0 تا 3.6.5