vBulletin、公開エクスプロイトが存在する重大な事前認証RCE脆弱性を修正

フォーラムソフトウェア「vBulletin」に存在する重大な脆弱性により、認証を受けていない攻撃者がテンプレートレンダリング機能を通じて任意のPHPコードを実行できることが分かりました。

このセキュリティ問題はCVE-2026-61511として追跡されており、vBulletinの5.xブランチではバージョン5.7.5まで、6.xブランチではバージョン6.2.1までがそれぞれ影響を受けます。

vBulletinは2000年にリリースされたPHPベースの独自フォーラムプラットフォームで、大規模なオンラインコミュニティ、ゲームサイト、サポートポータル、自動車系フォーラム、技術系フォーラム、ディスカッションボードなどで利用されています。

近年はより新しく現代的なソリューションの登場により人気が落ちてきているものの、依然として大きな市場シェアを維持しています。

独立系セキュリティ研究者のEgidio Romano氏がこの脆弱性を発見し、SSD Secure Disclosureの脆弱性報告プログラムを通じて報告するとともに、技術解説記事を公開しました。

Romano氏によると、この脆弱性は「runMaths()」関数に起因しています。この関数はユーザー入力を適切にサニタイズしないままPHPのeval()関数に渡してしまいますが、本来eval()関数は数式のみを処理するよう制限されるべきものです。

同研究者によれば、認証を受けていない攻撃者は「ajax/render/[template]」エンドポイントに特別に細工したリクエストを送信することでこの脆弱性を悪用できます。

このリクエストは「pagenav」などの脆弱なテンプレートによって処理され、最終的に攻撃者が制御可能な入力がPHPのeval()関数に渡されることで、リモートコード実行が可能になります。

SSD Secure Disclosureも、CVE-2026-61511に関する技術分析を公開しており、その中でサニタイズによる制限はいわゆる「phpfuck」テクニックを用いることで回避できると説明しています。

研究者らは、ajax/render/pagenavルートを標的とし、脆弱なサーバー上で任意のシステムコマンドを実行する概念実証(PoC)エクスプロイトも公開しました。

CVE-2026-61511の公開PoCが存在することで攻撃者にとってのハードルが下がり、通常はパッチ未適用でインターネットに公開されているvBulletinサーバーに対するスキャンや悪用の試みが増加することになります。

これは2025年5月にも見られた現象です。当時、脅威アクターは同じくRomano氏が発見した2件の重大なvBulletin脆弱性の公開PoCを悪用し、パッチ未適用のインスタンスを標的にしていました。

CVE-2026-61511は2026年6月25日にvBulletinへ報告され、この脆弱性に対処したバージョン6.2.2が7月1日にリリースされました。

セキュリティパッチは「Patch Level 1」としてタグ付けされた過去のリリースにもバックポートされており、v6.2.1、v6.2.0、v6.1.6が対象に含まれます。

vBulletinのテクニカルサポート責任者であるWayne Luke氏はプロジェクトのフォーラムで、旧バージョンのユーザーは新しいリリースへアップグレードすべきだと述べており、この発言から5.xブランチについてはCVE-2026-61511に対処するアップデートが提供されないと推測できます。