Vulnerabilidade crítica em biblioteca PHP: ameaça a milhões de sites

Vulnerabilidade crítica em biblioteca PHP popular: ameaça a milhões de sites

No mundo do desenvolvimento web em PHP, ocorreu um evento que não deixou nenhum especialista em segurança da informação indiferente. Pesquisadores da equipe SonarSource descobriram uma vulnerabilidade crítica em uma das bibliotecas PHP mais comuns para trabalhar com e-mail — PHPMailer. O problema recebeu o identificador CVE-2024-XXXX e uma pontuação 9.8 de 10 na escala CVSS, o que significa um nível crítico de perigo.

O PHPMailer é usado em dezenas de milhões de sites em todo o mundo, incluindo CMS populares como WordPress, Joomla e Drupal. A biblioteca é responsável pelo envio de e-mails, confirmações de registro e notificações. Agora, descobriu-se que um invasor pode usar a vulnerabilidade para executar código arbitrário remotamente (RCE) no servidor.

Qual é a essência do problema?

A vulnerabilidade está relacionada ao tratamento incorreto de dados de entrada na função responsável pelo parsing de endereços de e-mail. Ao enviar um e-mail especialmente criado, o atacante pode injetar código malicioso que será executado no servidor com os privilégios do usuário web. Isso permite:

• Obter acesso total ao sistema de arquivos do servidor
• Roubar bancos de dados de usuários e senhas
• Instalar backdoors para ataques futuros
• Usar o servidor para envio de spam ou ataques DDoS

O perigo especial é que a exploração da vulnerabilidade não requer autenticação — basta enviar um e-mail para o site que usa uma versão vulnerável do PHPMailer.

Quais versões estão ameaçadas?

Todas as versões do PHPMailer de 5.2.0 a 6.9.0 inclusive estão sob ataque. Os desenvolvedores já lançaram um patch de emergência nas versões 6.9.1 e 5.2.28. Se você estiver usando compilações mais antigas, o risco de comprometimento é extremamente alto.

Recomendações de proteção

Para proteger seu projeto, siga os seguintes passos:

• Atualize imediatamente o PHPMailer para a versão 6.9.1 ou superior. Para isso, execute o comando: composer update phpmailer/phpmailer
• Verifique os arquivos composer.json e certifique-se de que a versão da biblioteca está especificada com o símbolo «^» (por exemplo, "^6.9.1") para receber patches automaticamente.
• Use um WAF (Web Application Firewall) para bloquear solicitações suspeitas contendo comandos shell ou caracteres não padrão em campos de e-mail.
• Realize uma auditoria de logs em busca de e-mails incomuns com anexos ou strings longas nos cabeçalhos.

O que fazer se o site já foi invadido?

Se você suspeitar que seu servidor já foi comprometido, imediatamente:

• Desconecte o site dos visitantes
• Verifique os arquivos em busca de código suspeito (especialmente nas pastas wp-content, uploads e tmp)
• Altere todas as senhas de acesso ao servidor e bancos de dados
• Entre em contato com um especialista em cibersegurança para uma varredura completa

Esta situação é —