Trusted Design

CVE-2016-10033 の詳細

CVEの情報

説明:
The mailSend function in the isMail transport in PHPMailer before 5.2.18 might allow remote attackers to pass extra parameters to the mail command and consequently execute arbitrary code via a \" (backslash double quote) in a crafted Sender property.

CVE更新日: 2016-12-30 19:59:00.137000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2025-07-07

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.997140000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2016-10033について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2016-10033は、広く利用されているPHPのメール送信ライブラリであるPHPMailerに存在する、深刻なリモートコード実行（RCE）の脆弱性です。この脆弱性は、PHPMailerのmailSend()関数（デフォルトのisMailトランスポートメソッド内）が、ユーザー入力、特にSenderプロパティを適切にサニタイズしないことに起因します。これにより、攻撃者は細工された入力を通じてmail()コマンドに追加のパラメータを挿入し、結果として任意のコードをサーバー上で実行できる可能性があります。

1.1 影響

攻撃に成功した場合、ウェブサーバー上で任意のコードが実行される可能性があります。これにより、攻撃者は「ウェブシェル」と呼ばれる悪意のあるPHPファイルをアップロードしてサーバーを制御下に置いたり、サイトの乗っ取りや悪意のあるプログラムの設置が行われる可能性があります。攻撃の制御レベルは、実行されているアプリケーションの権限に依存します。また、エクスプロイトの試行が失敗した場合、サービス運用妨害 (Denial of Service) 状態に陥る可能性があります。

1.2 深刻度

この脆弱性は「緊急」または「クリティカル」と評価されています。CVSSスコアは9.8（Critical）です。この脆弱性を悪用するための公開されたエクスプロイトコードが存在し、実際に悪用されていることが確認されています。

2. 対象となる環境

この脆弱性の影響を受けるのは、PHPMailerライブラリを使用しているウェブアプリケーションです。

2.1 影響を受けるOSバージョン

OSのバージョンに直接依存するものではなく、PHPMailerライブラリのバージョンと、使用されているPHPのバージョン、およびMTA (Mail Transfer Agent) に依存します。PHP 5.2.0未満の古いPHPバージョンでは、特定の正規表現の問題が発生する可能性が指摘されていますが、本脆弱性の主要な原因とは異なります。

2.2 影響を受ける設定

  • PHPMailerのバージョン: 5.2.18より前のバージョン、特に5.2.17以前のPHPMailerが影響を受けます。
  • 脆弱な機能: デフォルトのisMailトランスポートメソッド内のmailSend関数が影響を受けます。
  • ユーザー入力: Senderプロパティ（エンベロープFrom）が外部から設定可能な場合。例えば、連絡フォームや登録フォーム、パスワードリセットフォームなど、ユーザーがメールアドレスを入力する一般的なウェブサイトコンポーネントが標的になる可能性があります。
  • MTA (Mail Transfer Agent): 現在公開されているPoC（概念実証）の多くは、MTAとしてsendmailを想定しています。Postfixを使用している環境では、sendmailコマンドのオプションの解釈が異なるため、直接的な影響が少ない可能性もありますが、脆弱性が完全にないわけではないため、PHPMailerのアップデートは推奨されます。
  • 利用アプリケーション: WordPress、Drupal、Joomla!などのPHPアプリケーションや各種プラグインでPHPMailerが利用されている場合、影響を受ける可能性があります。

3. 影響を受けた時の兆候

  • ウェブサーバーの乗っ取りや、ウェブサイトの改ざん。
  • ウェブシェルなどの悪意のあるPHPファイルがサーバーに設置されている。
  • サーバーから身に覚えのないメールが送信される。
  • ウェブサイトに予期しない動作やエラーが発生する。
  • Joomla!サイトでは、「BLPayload」や「JCachePro」といった見知らぬプラグインが追加されている事例が見られます。
  • 攻撃が失敗した場合にサービス運用妨害（DoS）が発生する。

4. 推奨対策

4.1 本対策

  • PHPMailerのアップデート: PHPMailerをバージョン5.2.18以降にアップデートしてください。ただし、この脆弱性に対する最初のパッチ (5.2.18) の後に、パッチをバイパスする新たな脆弱性 (CVE-2016-10045) が発見され、PHPMailer 5.2.20以前のバージョンが影響を受けました。そのため、可能であれば最新の安定版（5.2.21以降）にアップデートすることが強く推奨されます。
  • アプリケーションのアップデート: PHPMailerを利用しているWordPressやDrupal、Joomla!などのアプリケーションは、提供元がリリースしている脆弱性対応済みのバージョンにアップデートしてください。
    • WordPress: 最新の4.7にアップデートすることで、脆弱性対応版がリリースされ次第、自動アップデートされます。
    • その他PHPアプリケーション: ご利用のプログラムが脆弱性の対象となっているか、提供元にて確認してください。

4.2 暫定回避策（緩和策）

  • 入力値の検証・サニタイズ: PHPMailerの内部関数に渡す前に、ユーザーからの入力を厳密にフィルタリングし、検証してください。特にSenderやFromプロパティに悪意のある値が渡されないように対策を講じてください。
  • WAF (Web Application Firewall) の導入: WAFを導入している場合、サーバーサイドコードインジェクションやメタ文字に対する攻撃シグネチャによって、PHPMailerの脆弱性を悪用しようとする攻撃が検出・ブロックされる可能性があります。
  • Senderプロパティの外部からの設定制限: 外部からの入力でPHPMailerのSenderプロパティを直接設定できるような実装を避けてください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る