vBulletinの認証前RCE脆弱性:パッチ未適用フォーラムに迫る危険

公開された攻撃コードは、パッチ適用済みの脆弱性であっても、アップデートを先延ばしにしている利用者にとって現実的な脅威に変えてしまうことがよくあります。まさにこの危険が今、vBulletinフォーラムの管理者たちに迫っています。7月27日、SSD Secure Disclosureのセキュリティ研究者らが、CVE-2026-61511(CVSSスコア3.1:9.8)に関する悪用の詳細を公開しました。この深刻な脆弱性により、同プラットフォームの脆弱なインスタンスをホストするサーバー上で、認証なしのリモートコード実行が可能になります。

影響範囲と当面の対策

この脆弱性は、6.2系のvBulletin 6.2.1以前のビルド、および6.1.6以下のバージョンに影響します。ベンダーは6月下旬に緩和パッチを展開し、7月1日には強化版バージョン6.2.2を含む包括的なセキュリティパッチを正式にリリースしました。vBulletin Cloudプラットフォームはすでに問題なくアップデートを受け取っていますが、主な危険は現在、独自に運営されているセルフホスト型でインターネットに公開されているフォーラムに明確に及んでいます。

攻撃手法の解剖:数式表現の悪用

この脆弱性の根本的な原因は、テンプレートに埋め込まれた数式の処理メカニズムにあります。このエンジンは表面上、アルファベットや特定の特殊文字を除去することで入力をサニタイズしていますが、その後、残った文字列をPHPのeval()関数に渡してしまい、無差別にソフトウェアコードとして実行してしまいます。フィルターが数字、括弧、演算子を許可しているため、巧妙な攻撃者は文字を直接使わずにPHP関数名を巧みに再構築できてしまいます。

この攻撃を仕掛けるのに、管理ダッシュボードへのアクセスは一切必要ありません。公開ルーティングエンドポイントのajax/render/pagenavは、ページ番号パラメータを無条件に受け付け、それをそのままテンプレートの数式ブロックに注入してしまいます。緻密に細工されたペイロードがeval()関数に到達すると、サーバーはOSコマンドを実行させられ、その結果はHTTPレスポンス内でそのまま返されてしまいます。

概念実証と実際の悪用状況

公開された概念実証(PoC)のプロトタイプには、1文字分のわずかなタイプミスがあり、そのままでは実行できません。とはいえ、この些細なミスは容易に修正でき、根本的な攻撃手法を覆い隠すものではありません。独自の検証では、タイプミスを修正した上で無害なテスト式を実行できることが確認されましたが、実際に稼働中の本番サーバーに対する完全な攻撃は慎重に見送られました。

本稿公開の時点で、実際に悪用されたことを裏付ける事例は確認されておらず、CISAの既知悪用脆弱性(KEV)カタログにもこの脆弱性は掲載されていません。しかし、最初のパッチ展開から攻撃コードが公開されるまでの4週間の間に、悪意ある攻撃者がひそかにこの手法を利用していなかったかどうかは、依然として不気味なほど不透明なままです。

予防的な防御と検知の戦略

セルフホスト環境を運用する管理者には、vBulletin 6.2.2への移行、または自身が利用しているアーキテクチャ系統に対応するパッチの適用を強く推奨します。不審なネットワーク活動を積極的に洗い出すため、防御担当者はajax/render/pagenav宛てのPOSTリクエストを精査すべきです。特にセキュリティチームは、複雑な算術演算子やビット演算子が詰め込まれた、異常に長いpagenav[pagenumber]パラメータに細心の注意を払う必要があります。これは侵害の明確な兆候となります。