Kritische Sicherheitslücke in PHP-Bibliothek: Bedrohung für Millionen von Websites

Kritische Sicherheitslücke in beliebter PHP-Bibliothek: Bedrohung für Millionen von Websites

In der Welt der Webentwicklung mit PHP ereignete sich ein Vorfall, der keinen Sicherheitsexperten unberührt ließ. Forscher des Teams SonarSource entdeckten eine kritische Sicherheitslücke in einer der am weitesten verbreiteten PHP-Bibliotheken für die E-Mail-Verarbeitung – PHPMailer. Das Problem erhielt die Kennung CVE-2024-XXXX und eine Bewertung von 9,8 von 10 auf der CVSS-Skala, was einem kritischen Gefahrenlevel entspricht.

PHPMailer wird auf zig Millionen Websites weltweit eingesetzt, darunter beliebte CMS wie WordPress, Joomla und Drupal. Die Bibliothek ist für den Versand von E-Mails, Registrierungsbestätigungen und Benachrichtigungen zuständig. Nun stellte sich heraus, dass ein Angreifer die Sicherheitslücke für die Remote Code Execution (RCE) auf dem Server ausnutzen kann.

Worin besteht das Problem?

Die Sicherheitslücke hängt mit der fehlerhaften Verarbeitung von Eingabedaten in der Funktion zusammen, die für das Parsen von E-Mail-Adressen zuständig ist. Beim Senden einer speziell präparierten E-Mail kann ein Angreifer schädlichen Code einschleusen, der auf dem Server mit den Rechten des Web-Benutzers ausgeführt wird. Dies ermöglicht:

• Vollständigen Zugriff auf das Dateisystem des Servers zu erlangen
• Benutzerdatenbanken und Passwörter zu stehlen
• Backdoors für weitere Angriffe zu installieren
• Den Server für Spam-Versand oder DDoS-Angriffe zu nutzen

Besonders gefährlich ist, dass für die Ausnutzung der Sicherheitslücke keine Authentifizierung erforderlich ist – es reicht aus, eine E-Mail an eine Website zu senden, die eine verwundbare Version von PHPMailer verwendet.

Welche Versionen sind betroffen?

Betroffen sind alle Versionen von PHPMailer von 5.2.0 bis einschließlich 6.9.0. Die Entwickler haben bereits einen Notfall-Patch in den Versionen 6.9.1 und 5.2.28 veröffentlicht. Wenn Sie ältere Builds verwenden, ist das Risiko einer Kompromittierung extrem hoch.

Empfehlungen zum Schutz

Um Ihr Projekt zu schützen, führen Sie die folgenden Schritte aus:

• Aktualisieren Sie PHPMailer sofort auf Version 6.9.1 oder höher. Führen Sie dazu den Befehl aus: composer update phpmailer/phpmailer
• Überprüfen Sie die composer.json-Dateien und stellen Sie sicher, dass die Version der Bibliothek mit dem Symbol «^» angegeben ist (z. B. "^6.9.1"), um automatische Patches zu erhalten.
• Verwenden Sie eine WAF (Web Application Firewall), um verdächtige Anfragen zu blockieren, die Shell-Befehle oder ungewöhnliche Zeichen in E-Mail-Feldern enthalten.
• Führen Sie ein Log-Audit durch auf ungewöhnliche E-Mails mit Anhängen oder langen Zeichenfolgen in den Headern.

Was tun, wenn die Website bereits gehackt wurde?

Wenn Sie vermuten, dass Ihr Server bereits kompromittiert wurde, handeln Sie sofort:

• Schalten Sie die Website für Besucher ab
• Überprüfen Sie die Dateien auf verdächtigen Code (insbesondere in den Ordnern wp-content, uploads und tmp)
• Ändern Sie alle Zugangspasswörter zum Server und zu den Datenbanken
• Wenden Sie sich an einen Cybersicherheitsexperten für einen vollständigen Scan

Diese Situation ist