CVE-2026-61511：vBulletin未经身份验证的远程代码执行漏洞，公开PoC已披露

sec随谈
sec随谈

sec随谈

2026年7月27日 17:55
北京

在小说阅读器读本章

去阅读

摘要

一个针对CVE-2026-61511的公开概念验证（PoC）代码已经出现，该漏洞是vBulletin论坛系统中一个无需身份验证即可利用的远程代码执行（RCE）漏洞。这一漏洞源于一处数学表达式解析缺陷，允许未经身份验证的攻击者在服务器上执行PHP代码。vBulletin已在6.2.2版本中修复了该问题。

为何这一vBulletin未授权RCE漏洞值得重视

vBulletin为众多高流量论坛提供支持。此漏洞无需登录，也无需任何用户交互——因此，任何暴露在外的6.x版本论坛都会成为直接攻击目标。一旦利用成功，攻击者便可以Web服务器的身份执行任意PHP代码，这可能导致网站被完全接管，以及会员数据遭到访问。

攻击原理

该问题出现在vBulletin模板运行时环境中的runMaths()方法中。该方法将过滤不严的输入直接传入了PHP的eval()函数进行执行。其过滤规则允许数字、括号以及运算符（包括XOR异或运算符）通过，因此攻击者可以利用一些已知的字符构造技巧，将任意PHP代码编码后传入。

未经身份验证的请求可通过ajax/render路由到达存在漏洞的代码。一个被污染的页码参数会流入{vb:math}标签，随后进入eval()函数执行。SSD Secure Disclosure在其公开发布的安全公告中详细记录了这一完整的攻击链条。

公开披露与利用现状

目前该漏洞的详细技术信息以及一个可用的概念验证（PoC）代码均已公开。相关公告中附带了由研究员EgiX编写的完整利用代码。截至目前，研究人员尚未确认存在在野利用情况。

受影响版本

该漏洞影响vBulletin 6.2.1及更早版本，以及6.1.6及更早版本，这两个分支共享着同一段存在漏洞的模板代码。

补丁与应对措施

请立即升级至vBulletin 6.2.2版本。如果暂时使用的是较旧版本，可分别针对6.2.1、6.2.0和6.1.6版本应用官方发布的安全补丁。完成升级或打补丁后，即可彻底修复此vBulletin未授权RCE漏洞。

参考链接：

https://forum.vbulletin.com/forum/vbulletin-announcements/vbulletin-announcements\_aa/4509358-security-patch-released-for-vbulletin-6-2-1-6-2-0-and-6-1-6