- Aktif istismar
- CWE-77
- CWE-88
CVE-2016-10033
PHPMailer isMail taşıyıcısında komut enjeksiyonu ve uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 3588 gün
- Kaydı açan
- mitre
Yönetici özeti
Web sitenizin e-posta gönderiminde kullanılan PHPMailer kütüphanesinin eski sürümleri, dışarıdan bir saldırganın sunucuyu ele geçirmesine izin verebiliyor. Açık aktif olarak istismar edildiği için risk çok yüksektir ve acil müdahale gerekir. Güncelleme yapılmadan bırakılan sistemlerde veri sızıntısı ve hizmet kesintisi yaşanabilir.
ÖzetTürkçe
PHPMailer'ın 5.2.18 öncesi sürümlerinde, isMail taşıyıcısındaki mailSend fonksiyonu Sender özelliğindeki girdiyi yeterince denetlemiyor. Saldırgan, Sender alanına özel hazırlanmış bir ters eğik çizgi ve çift tırnak (\") dizisi vererek mail komutuna ek parametreler aktarabiliyor. Bu kütüphaneyi iletişim formu, parola sıfırlama gibi e-posta gönderen işlevlerde kullanan web uygulamaları etkileniyor. Açık, CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer alıyor.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış uzak bir saldırgan, sunucuda isteğe bağlı kod çalıştırabilir. Bu da sunucunun ve üzerindeki verilerin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
The mailSend function in the isMail transport in PHPMailer before 5.2.18 might allow remote attackers to pass extra parameters to the mail command and consequently execute arbitrary code via a \" (backslash double quote) in a crafted Sender property.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- PHPMailer'ı 5.2.18 veya daha yeni bir sürüme güncelleyin. Kütüphaneyi kendi içinde barındıran CMS, eklenti ve uygulamalardaki gömülü kopyaları da güncelleyin. Genel öneri
- CISA'nın yönergesine uyun: Satıcı talimatlarına göre azaltım önlemlerini uygulayın. Önlemler mümkün değilse ürünün kullanımını bırakın. CISA
- Güncelleme hemen yapılamıyorsa kullanıcıdan gelen verilerin Sender alanına aktarılmasını engelleyin. Gönderen adresini sabit ve sunucu tarafında belirlenmiş bir değerle ayarlayın ya da e-posta gönderen formları geçici olarak kapatın. Genel öneri
Ek önlemler
- Sunucularınızdaki tüm uygulama ve dizinlerde PHPMailer'ın eski kopyalarını arayıp envanter çıkarın. Bağımlılıkları Composer gibi bir paket yöneticisiyle güncel tutun. Genel öneri
- E-posta gönderirken isMail yerine SMTP taşıyıcısını kullanmayı değerlendirin. Genel öneri
- Web sunucusu loglarında ve e-posta formlarına gelen isteklerde, gönderen alanında alışılmadık tırnak ve ters eğik çizgi içeren girdileri izleyin. Genel öneri
- Web sunucusunu en az yetkiyle çalıştırın. Sunucu ele geçirilmiş olabileceğinden şüpheleniyorsanız beklenmeyen dosyaları ve süreçleri kontrol edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| PHPMailer | Sürüm belirtilmemiş | – |
Kaynaklar24 kaynak
- CVE.org kaydı
- NVD kaydı
- exploit-db.com/exploits/42221 İstismar kodu ya da analiz
- exploit-db.com/exploits/40969 İstismar kodu ya da analiz
- exploit-db.com/exploits/41962 İstismar kodu ya da analiz
- exploit-db.com/exploits/40968 İstismar kodu ya da analiz
- exploit-db.com/exploits/40974 İstismar kodu ya da analiz
- exploit-db.com/exploits/40986 İstismar kodu ya da analiz
- exploit-db.com/exploits/40970 İstismar kodu ya da analiz
- exploit-db.com/exploits/41996 İstismar kodu ya da analiz
- exploit-db.com/exploits/42024 İstismar kodu ya da analiz
- packetstormsecurity.com/…350/PHPMailer-Sendmail-Argument-Injection.html Diğer
- drupal.org/psa-2016-004 Diğer
- legalhackers.com/…loit-Remote-Code-Exec-CVE-2016-10033-Vuln.html Diğer
- github.com/PHPMailer/PHPMailer/releases/tag/v5.2.18 Diğer
- securityfocus.com/archive/1/539963/100/0/threaded Diğer
- github.com/…-2016-10033-and-CVE-2016-10045-vulnerabilities Diğer
- packetstormsecurity.com/…es/140291/PHPMailer-Remote-Code-Execution.html Diğer
- rapid7.com/…les/exploit/multi/http/phpmailer_arg_injection Diğer
- seclists.org/fulldisclosure/2016/Dec/78 Diğer
- securityfocus.com/bid/95108 Diğer
- securitytracker.com/id/1037533 Diğer
- developer.joomla.org/…/668-20161205-phpmailer-security-advisory.html Diğer
- github.com/advisories/GHSA-5f37-gxvh-23v6 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.