Een beveiligingsupdate die deze week verscheen voor een ernstig beveiligingslek in PHPMailer blijkt niet afdoende te zijn, waardoor nog steeds miljoenen websites risico lopen. PHPMailer is een programma dat e-mailfunctionaliteit aan websites toevoegt, bijvoorbeeld voor het achterlaten van feedback.

Volgens de ontwikkelaars heeft de software naar schatting 9 miljoen gebruikers. Onder andere WordPress, Drupal, SugarCRM en Joomla maken er gebruik van, zo meldt het Nationaal Cyber Security Center (NCSC). Deze week verscheen er een beveiligingsupdate voor een kwetsbaarheid (CVE-2016-10033) waardoor een aanvaller op afstand code met de rechten van de webserver kon uitvoeren. De update, met versienummer 5.2.18, blijkt het probleem echter niet volledig te verhelpen, meldt beveiligingsonderzoeker Dawid Golunski. Hij ontdekte ook het lek en de mogelijkheid om de update te omzeilen.

Op tweede kerstdag waarschuwde hij de ontwikkelaars voor het nieuwe probleem, dat als CVE-2016-10045 wordt aangeduid. De ontwikkelaars zouden inmiddels aan een beveiligingsupdate werken die binnenkort zal verschijnen, meldt Golunski op de Full Disclosure-mailinglist. De onderzoeker besloot de details echter al openbaar te maken omdat er op een andere mailinglist al een manier werd besproken om de update voor CVE-2016-10033 te omzeilen. "Het achterhouden van de advisory zou dan ook geen zin hebben", laat Golunski weten.