vBulletinに存在する深刻な脆弱性により、認証されていないリモート攻撃者が脆弱なフォーラムサーバー上で任意のPHPコードを実行できることが判明しました。これによりサーバー侵害への直接的な経路が生まれます。CVE-2026-61511として追跡されているこの問題は、vBulletin 6.2.1以前、およびバージョン6.1.6以前に影響します。
この脆弱性は、SSD Secure Disclosureと協力する研究者によって2026年7月27日に公開されました。問題の所在はテンプレートランタイムコンポーネントで、具体的には/includes/vb5/template/runtime.php内のvB5_Template_Runtime::runMaths()にあります。
この脆弱性の核心にあるのは、安全でないeval()処理です。アプリケーションは、与えられた式を評価する前に制限的な正規表現を適用しています。
しかし、このフィルターは数字、括弧、ピリオド、算術演算子、そしてXORを含む二項演算子を依然として許可しています。これらの許可されたプリミティブは、アルファベットの関数名を使わずに呼び出し可能な値や引数を構築できるPHP式難読化テクニックにとって十分な材料となります。
そのため、攻撃者が制御するデータは、半任意のPHP命令を直接実行できる形でeval()に到達し得ます。管理インターフェースを通じたテンプレート編集でもこの脆弱なコードを引き起こせますが、より深刻なのは認証前の攻撃対象領域です。
公開されてアクセス可能なテンプレートレンダリングのエンドポイントを操作して、汚染された入力をmathタグに渡すことができれば、攻撃者は管理者権限の認証情報を必要としません。
SSD Secure Disclosureはajax/render/[template]ルートを悪用可能な経路として特定しました。特に注目すべき例がpagenavテンプレートです。そのリクエストパラメータpagenav[pagenumber]はpagenav.currentpageに代入され、その後{vb:math}式内でページ値の計算に使用されます。
この一連の流れによって、ユーザーが制御可能なコンテンツがrunMaths()に送り込まれ、最終的にeval()へと到達します。
悪用に成功すると、脅威アクターはPHPを介してOSコマンドを実行し、Webシェルを展開したり、フォーラムのデータベースや設定情報の秘密情報を窃取したり、サイトのコンテンツを改ざんしたり、サーバーからアクセス可能な隣接システムへ侵入したりできる可能性があります。
攻撃者は事前の認証なしにインターネットに公開されたフォーラムをリモートから標的にでき、しかもエクスプロイトコードがすでに公開されているため、このリスクは極めて深刻です。
管理者はCVE-2026-61511を緊急パッチ適用が必要な事案として扱うべきです。可能な限りvBulletin 6.2.2へアップグレードするか、6.2.1、6.2.0、6.1.6の各ブランチ向けにベンダーが提供するセキュリティパッチを適用することが推奨されます。
また、ajax/render/pagenavを狙った不審なPOSTリクエスト、予期しないpagenav[pagenumber]の値、異常なPHP子プロセス、新たに作成されたファイル、フォーラムホストからの不審な外向き通信がないか、Webログおよびアプリケーションログを確認する必要があります。
アップデートが適用されるまでの間は、Webアプリケーションファイアウォールやリバースプロキシのルールによってテンプレートレンダリングのエンドポイントへの公開アクセスを制限することでリスクを低減できますが、これはパッチ適用の代替にはなりません。
インシデント対応担当者は、悪用が成功した疑いがある場合はサーバーが完全に侵害された可能性があると想定し、フォーラムホスト上に保存されている認証情報をローテーションし、持続化の痕跡がないかホストを確認する必要があります。
16,000以上の組織から得られた最新のインテリジェンスで、58%多くの脅威を検知。SOCにTIフィードを統合しましょう
翻訳元: https://cyberpress.org/critical-vbulletin-pre-auth-rce-flaw/
