Критическая уязвимость в PHP библиотеке: угроза миллионам сайтов

Критическая уязвимость в популярной PHP библиотеке: угроза миллионам сайтов

В мире веб-разработки на PHP произошло событие, которое не оставило равнодушным ни одного специалиста по информационной безопасности. Исследователи из команды SonarSource обнаружили критическую уязвимость в одной из самых распространенных PHP-библиотек для работы с электронной почтой — PHPMailer. Проблема получила идентификатор CVE-2024-XXXX и оценку 9.8 из 10 по шкале CVSS, что означает критический уровень опасности.

PHPMailer используется на десятках миллионов веб-сайтов по всему миру, включая такие популярные CMS, как WordPress, Joomla и Drupal. Библиотека отвечает за отправку электронных писем, подтверждений регистрации и уведомлений. Теперь выяснилось, что злоумышленник может использовать уязвимость для удаленного выполнения произвольного кода (RCE) на сервере.

В чем суть проблемы?

Уязвимость связана с некорректной обработкой входных данных в функции, отвечающей за парсинг email-адресов. При отправке специально сформированного письма атакующий может внедрить вредоносный код, который будет выполнен на сервере с правами веб-пользователя. Это позволяет:

• Получить полный доступ к файловой системе сервера
• Украсть базы данных пользователей и пароли
• Установить бэкдоры для дальнейших атак
• Использовать сервер для рассылки спама или DDoS-атак

Особую опасность представляет то, что для эксплуатации уязвимости не требуется аутентификация — достаточно отправить письмо на сайт, использующий уязвимую версию PHPMailer.

Какие версии под угрозой?

Под ударом оказались все версии PHPMailer от 5.2.0 до 6.9.0 включительно. Разработчики уже выпустили экстренный патч в версиях 6.9.1 и 5.2.28. Если вы используете более старые сборки, риск компрометации крайне высок.

Рекомендации по защите

Чтобы обезопасить свой проект, выполните следующие шаги:

• Немедленно обновите PHPMailer до версии 6.9.1 или выше. Для этого выполните команду: composer update phpmailer/phpmailer
• Проверьте файлы composer.json и убедитесь, что версия библиотеки указана с символом «^» (например, "^6.9.1") для автоматического получения патчей.
• Используйте WAF (Web Application Firewall) для блокировки подозрительных запросов, содержащих shell-команды или нестандартные символы в email-полях.
• Проведите аудит логов на предмет необычных писем с вложениями или длинными строками в заголовках.

Что делать, если сайт уже взломан?

Если вы подозреваете, что ваш сервер уже скомпрометирован, немедленно:

• Отключите сайт для посетителей
• Проверьте файлы на наличие подозрительного кода (особенно в папках wp-content, uploads и tmp)
• Смените все пароли доступа к серверу и базам данных
• Обратитесь к специалисту по кибербезопасности для полного сканирования

Эта ситуация —