Une faille critique dans PHPMailer rends vulnérable des millions de sites web

Dernière mise à jour le 26 Déc 2016
faille phpmailer

Une vulnérabilité critique a été découverte dans PHPMailer, qui est l’une des librairies open source les plus populaires qui est utilisée par plus de 9 millions de sites web.

Des millions de sites web en PHP ainsi que des CMS open source comme Joomla ou WordPress utilisent la librairie PHPMailer pour envoyer des courriels à ses utilisateurs en passant par une variété de méthodes y compris l’envois par SMTP.

Il s’agit d’une faille critique qui peut compromettre tous les sites web qui utilisent un systéme d’envois de courriels.

Découverte par un chercheur en sécurité

Découverte par Dawid Golunski, un chercheur en sécurité Polonais du Legal Hackers, la vulnérabilité critique (CVE-2016-10033 et CVE-2016-10045) permet aux hackers d’exécuter à distance du code source dans l’environnement d’hébergement et de compromettre l’application.

“Pour exploiter la vulnérabilité, un attaquant pourrait cibler des composants communs tels que des formulaires de contact / rétroaction, des formulaires d’inscription, des réinitialisations de mot de passe et d’autres qui envoient des courriers électroniques à l’aide d’une version vulnérable de la classe PHPMailer », écrit Golunski dans l’avis publié ce 26 décembre 2016.

Golunski a déclaré la vulnérabilité aux développeurs de la librairie de façon responsable, qui ont corrigé la vulnérabilité dans leur nouvelle version, PHPMailer 5.2.18, avant qu’il ne communique l’information au public. (Mise à jour du 29/12/2016 à 13h45, un nouveau correctif est disponible: PHPMailer 5.2.20)

Toutes les versions de PHPMailer avant la version critique 5.2.20 sont concernées, il est donc fortement recommandé aux administrateurs web et aux développeurs de mettre à jour la version corrigée.

Nous sommes un des premiers sites francophones à divulguer cette information de la vulnérabilité suite à l’avis de Golunski et des millions de sites web restent non patchés, le chercheur a mis en attente les détails techniques sur la faille afin de permettre aux administrateurs de rectifier cette faille. Toutefois, Golunski a promis dans son communiqué de diffuser plus de détails techniques sur la vulnérabilité dans les prochains jours, y compris un code d’exploit de preuve de concept et une démonstration vidéo qui montrera l’attaque en action. (Mise à jour du 28/12/2016: Le temps de vous retranscrire cet article, l’exploit a déjà été communiqué et il est déjà disponible !)

Les robots ne vont pas tarder a scanner le web

A l’heure où nous vous écrivons cet article nous estimons qu’une grande partie des sites utilisant cette librairie sont encore vulnérables, nous estimons que 80% sont encore vulnérables, et des robots ne vont pas tarder à apparaitre pour scanner le web à la recherche de cette faille pour l’exploiter. 

Nous vous recommandons donc vivement de faire au plus vite pour patcher la librairie PHPMailer de votre site web afin de vous éviter des mésaventures. Si vous utilisez un CMS, surveillez chaque jour les mises à jour de votre CMS et n’hésitez à mettre à jour votre système avec les dernières versions.

Ressources additionnelles

N’hésitez pas à nous contacter si vous avez besoin d’aide.

 

    Téléchargement du module

    Laissez-nous votre prénom et votre adresse de courriel pour vous envoyer le module par courriel:


      Pssssst Attendez...

      Laissez nous votre meilleure adresse email et vous recevrez le premier nos prochaines publications...


        Recevoir chaque semaine notre publication en avant première.

        Rejoignez nos 153 845 fidèles lecteurs et restez informés concernant le domaine du développement web, en étant le premier à recevoir notre publication chaque semaine.