NVD / CVE Program· CNA mitre

CVE-2016-10033: The mailSend function in the isMail transport in PHPMailer before 5.2.18 might allow remote attackers to pass extra parameters to the mail…

КритическаяCVSS 9.8 · v3.1KEVГотовый эксплойт Есть исправление

Оценка Noroxi

Приоритет: Срочно (оценка срочности 99/100)

CISA подтвердило эксплуатацию в реальных атаках (7 июл. 2025 г.). Срок устранения для федеральных ведомств США: 28 июл. 2025 г.
Опубликован готовый модуль атаки (Metasploit, Nuclei); для эксплуатации не нужна особая квалификация.
Вероятность эксплуатации в ближайшие 30 дней: 99,7% (FIRST EPSS); выше, чем у 99,9% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
По данным CISA атаку можно автоматизировать: цели находятся массовым сканированием.
Исправленная версия: php-phpmailer (Alpine:v3.2) 5.2.4-r0; php5-phpmailer (Alpine:v3.4) 5.2.0-r1; php5-phpmailer (Alpine:v3.5) 5.2.4-r1.
Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 2.

Установите исправление сегодня или закройте доступ. Обновитесь до php-phpmailer (Alpine:v3.2) 5.2.4-r0; php5-phpmailer (Alpine:v3.4) 5.2.0-r1; php5-phpmailer (Alpine:v3.5) 5.2.4-r1 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · CISA KEV · FIRST EPSS

The mailSend function in the isMail transport in PHPMailer before 5.2.18 might allow remote attackers to pass extra parameters to the mail command and consequently execute arbitrary code via a \" (backslash double quote) in a crafted Sender property.

RCE без входа

Опубликовано: 30 дек. 2016 г.
Обновлено: 16 июн. 2026 г.
EPSS: 99,7 % · 99-й процентиль
CWE: CWE-88

Инструменты для отчёта

JSON

Оценка срочности

Срочно

Установите исправление сегодня или закройте доступ.

CVSS: 39 / 40 · 9.8 / 10
CISA KEV: 30 / 30 · В списке
EPSS: 30 / 30 · 99,7 %

Решение CISA SSVC

Эксплуатация: активная
Автоматизируемо: да
Техническое влияние: полное

Vulnrichment: входные данные дерева решений CISA.

Активно эксплуатируется

CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 7 июл. 2025 г.. Это указывает на реальные атаки, а не теорию.

Срок устранения для федеральных ведомств США: 28 июл. 2025 г..

Узнайте, когда запись изменится

В CISA KEV: эксплуатация в реальных атаках подтверждена
Есть боевой эксплойт
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
phpmailer project	phpmailer	cpe:2.3:a:phpmailer_project:phpmailer
wordpress	wordpress	cpe:2.3:a:wordpress:wordpress
joomla	joomla\!	cpe:2.3:a:joomla:joomla\!

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

wordpress wordpressдо 4.7 включительно

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Alpine:v3.2	php-phpmailer	до 5.2.4-r0	5.2.4-r0
Alpine:v3.4	php5-phpmailer	до 5.2.0-r1	5.2.0-r1
Alpine:v3.5	php5-phpmailer	до 5.2.4-r1	5.2.4-r1
Debian:12	libphp-phpmailer	до 5.2.14+dfsg-2.1	5.2.14+dfsg-2.1
Debian:7	libphp-phpmailer	до 5.1-1.2	5.1-1.2
Debian:8	libphp-phpmailer	до 5.2.9+dfsg-2+deb8u2	5.2.9+dfsg-2+deb8u2
Packagist	phpmailer/phpmailer	с 5.0.0 · до 5.2.18	5.2.18

Тот же продукт

phpmailer project: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2016-10045The isMail transport in PHPMailer before 5.2.20 might allow remote attackers to pass extra parameters to the mail command and consequently…
68На этой неделе
CVE-2020-36326PHPMailer 6.1.8 through 6.4.0 allows object injection through Phar Deserialization via addAttachment with a UNC pathname.
40В плане
CVE-2018-19296PHPMailer before 5.2.27 and 6.x before 6.0.6 is vulnerable to an object injection attack.
36Наблюдать

Опубликованы до и после этой записи в том же продукте

Позже →CVE-2017-522316 янв. 2017 г. · An issue was discovered in PHPMailer before 5.2.22.
23Наблюдать
Позже →CVE-2017-1150320 июл. 2017 г. · PHPMailer 5.2.23 has XSS in the "From Email Address" and "To Email Address" fields of code_generator.php.
25Наблюдать
Позже →CVE-2020-136258 июн. 2020 г. · PHPMailer before 6.1.6 contains an output escaping bug when the name of a file attachment contains a double quote character.
31Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
alpine:php-phpmailer	5.2.4-r0 · Alpine:v3.2	Реестр пакетов (OSV)
alpine:php5-phpmailer	5.2.0-r1 · Alpine:v3.4	Реестр пакетов (OSV)
debian:libphp-phpmailer	5.2.14+dfsg-2.1 · Debian:12	Реестр пакетов (OSV)
Packagist:phpmailer/phpmailer	5.2.18	Реестр пакетов (OSV)

Статус эксплойта

Готовый эксплойт

Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.

Доказательство

Модуль Metasploit ×2
Запись Exploit-DB ×9
Шаблон обнаружения Nuclei ×1
Репозиторий PoC на GitHub ×17

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Репозиторий PoC на GitHub	репозиториев: 17	2016-12-26 → 2026-07-24
Запись Exploit-DB	webapps	2017-05-03
Запись Exploit-DB	remote	2017-05-11
Запись Exploit-DB	remote	2017-05-17
Запись Exploit-DB	webapps	2016-12-26
Запись Exploit-DB	webapps	2016-12-25
Запись Exploit-DB	webapps	2016-12-29
Запись Exploit-DB	webapps	2016-12-27
Запись Exploit-DB	webapps	2017-01-02
Запись Exploit-DB	webapps	2017-06-21
Модуль Metasploit	exploit/multi/http/phpmailer_arg_injectionPHPMailer Sendmail Argument Injectionexploit	2016-12-26
Модуль Metasploit	exploit/unix/webapp/wp_phpmailer_host_headerWordPress PHPMailer Host Header Command Injectionexploit	2017-05-03
Шаблон обнаружения Nuclei	Шаблон Nuclei CVE-2016-10033	—

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.