どちらとも言えますな。しかし、現実にはLinux運用者が「確認すべき観点」があります。phpMailerの設定がユーザー入力値を直接反映している部分をチェックし、SMTPホストの検証処理が適切に行われているかを確認する必要があります。これは、コードの変更履歴を確認する作業です。

責任は「パッチ適用」にあります。5.0.0以降へのアップグレードが推奨されています。これは、ベンダーが提供する修正パッケージを適用するという「変更管理」のプロセスです。ただし、アップグレード後も監視が必要です。なぜなら、古いバージョンの残存コンポーネントがリスクを残すからです。

技術的対応は当然ですが、運用者は「影響調査」を怠ってはなりません。内部ネットワークへの出力接続が許可されているか、ログに異常なSMTP接続が記録されていないかを確認してください。また、ベンダー情報確認は、このケースでは「Wallosのリリースノート」を参照することです。

教訓は「確認作業の徹底」です。たとえCVSSが4.3という中程度の深刻度でも、SSRFのリスクは無視できません。運用者は、コードの検証とパッチ適用の二重の確認を怠らないことが肝要です。もちろん、この話は「アップグレードがすべて」ではないですが、少なくとも「確認」が第一歩です。

結論は「技術の信頼性は、運用者の目と手にかかっている」ことです。そして、笑いながらも、この脆弱性をきっかけに「確認の習慣」を身につけることが、真の倫理的責任です。