Ubuntu corregge Swift Mailer: falla del 2016 chiusa su 16.04 ESM

Canonical ha pubblicato il 3 novembre 2026 l'avviso USN-8986-1, che corregge una vulnerabilità di command injection nel pacchetto libphp-swiftmailer su Ubuntu 16.04 LTS (xenial). Riguarda chi tiene ancora in produzione server con questa versione, tipicamente tramite abbonamento Ubuntu Pro/ESM, e usa Swift Mailer per l'invio di email da applicazioni PHP.

Di cosa si tratta

Secondo l'avviso ufficiale, Dawid Golunski ha scoperto che Swift Mailer non sanificava correttamente gli indirizzi email nel trasporto di posta, permettendo potenzialmente a un attaccante remoto di passare parametri extra al comando mail ed eseguire codice arbitrario.

La falla è identificata come CVE-2016-10074. Non è una scoperta recente: il bug risale al 2016 e colpisce il componente Swift_Transport_MailTransport. Il vettore d'attacco, come documentato nei database di vulnerabilità indipendenti, può essere sfruttato includendo un backslash e un doppio apice (") in un indirizzo email malformato nei campi From, ReturnPath o Sender. Il punteggio di gravità assegnato è 9.8 su 10, nella fascia critica.

Versione corretta e chi deve intervenire

Per Ubuntu 16.04 LTS (xenial) il pacchetto da installare è php-swiftmailer nella versione 5.4.1-1ubuntu1+esm1. Chi ha un sistema aggiornato con i repository abilitati riceve la correzione con un normale aggiornamento di sistema (apt update && apt upgrade).

Va detto che Ubuntu 16.04 è fuori supporto standard da tempo: gli aggiornamenti per questa release arrivano solo a chi ha attivato Ubuntu Pro, il programma di manutenzione estesa (ESM) di Canonical che copre pacchetti in Main e Universe fino a dieci anni dalla pubblicazione della distribuzione, gratuito fino a cinque macchine.

A monte, il progetto Swift Mailer aveva già risolto il problema nella versione 5.4.5; Canonical ha applicato la correzione sul ramo 5.4.1 ancora distribuito su xenial, pratica standard per i backport di sicurezza.

Cosa fare

Chi gestisce ancora server Ubuntu 16.04 con libphp-swiftmailer installato dovrebbe verificare la versione del pacchetto con dpkg -l php-swiftmailer e, se non è già abbonato a Ubuntu Pro, valutare la migrazione a una release supportata: il sistema operativo ha ormai superato il ciclo di vita standard e dipende interamente dall'ESM per ricevere patch come questa.