A PHPMailerben, az egyik legszélesebb körben használt PHP e-mail-küldő könyvtárban talált, távoli kódvégrehajtást lehetővé tevő sérülékenység több millió webhelyet tesz feltörhetővé a hackerek számára. A biztonsági rést Dawid Golunski biztonsági kutató fedezte fel, és már meg is jelent az első javítás a PHPMailer 5.2.18-as változatában, amiről azonban kiderült, hogy nem teljes, és kijátszható. A PHPMailer könyvtárat közvetlenül vagy közvetve sok tartalomkezelő rendszer - köztük a WordPress, a Joomla és a Drupal - is használja. Ahol a könyvtár nincs benne az alapkódban, ott egy különálló modul, vagy külső fejlesztő kiegészítő programja valósítja meg a funkcióját.
Emiatt a sebezhetőség hatása weboldalról weboldalra változhat. Így például a Joomla biztonsági csapata megállapította, hogy a PHPMaileren alapuló Joomla JMail osztály további érvényesítési funkciókat tartalmaz, amelyek a sérülékenység kihasználását kivihetetlenné teszik.
A sebezhetőséget a küldő e-mail-címének nem kielégítő érvényesítése okozza, ami lehetővé teszi a támadó számára héj parancsok injektálását, amelyek a webszerveren hajtódnak végre. A sikeres kihasználáshoz azonban egy olyan webes űrlapra van szükség a weboldalon, amely a PHPMailert használja e-mailek küldésére, és amely lehetővé teszi egy egyedi küldő e-mail-címének bevitelét. Nem lehet tudni, hogy az ilyen konfiguráció milyen gyakori, mivel a webes űrlapok általában előre definiálva tartalmazzák a küldő e-mail-címét, és csak a látogatók (címzettek) saját e-mail-címének megadását engedik meg.
Mivel az első javítás kijátszható, és rendelkezésre áll a kihasználó kód, a sérülékenységet nulladik napinak minősítték, mivel nyilvánosságra került, és kijavítatlan. Ráadásul mivel a hatás minden weboldalnál más és más a PHPMailer használatától függően, nem könnyű feladat a webmesterek számára a veszély kivédése.
Ha a PHPMailert közvetlenül használják a weboldal kódjában, frissíteniük kell a könyvtár javított verziójára, mihelyt az megjelenik. Ugyancsak meg kell vizsgálniuk, hogy tartalmaz-e a webhelyük olyan űrlapot, amely e-maileket küld a PHPMailer sebezhető verziójával, és azt, hogy egy potenciális támadó beillesztheti-e a küldő e-mail-címét. Ugyancsak meg kell győződniük arról, hogy van-e a rendszerben külső fejlesztőtől származó modul vagy bedolgozó, amely a PHPMailert használja.
