colocar o $MAIL entre "" para evitar remote code execution