vBulletin 预认证代码执行漏洞修复版公开利用代码发布

7月27日发布的公开利用详情显示，未经身份验证的请求如何能够到达 vBulletin 内部的 PHP eval() 函数，并在未修复的论坛服务器上执行代码。该攻击无需账户、管理权限或其他用户的交互。
SSD Secure Disclosure 将 vBulletin 6.2.1 及更早版本、6.1.6 及更早版本列为受影响版本，但未给出更低版本边界。vBulletin 于 6 月底发布了针对 6.2.1、6.2.0 和 6.1.6 版本的安全补丁，并于 7 月 1 日发布了修复版本 6.2.2，这比利用代码公开早了近四周。
运行自托管实例的管理员应为其版本分支应用补丁，或升级到 6.2.2。vBulletin 表示其 Cloud 站点已针对该漏洞完成修复。
SSD 未报告活跃利用。截至 2026 年 7 月 27 日，没有任何来源确认野外攻击，CVE-2026-61511 也未出现在 CISA 的已知被利用漏洞目录中。该公司发布了一个交互式概念验证，但发布的脚本包含一个单字符错误——一个字母出现在本应是数字的位置——导致其无法直接运行。
该错误很容易修正，且不影响底层漏洞。公开记录未能确定的一点是，在 6 月底的补丁发布到 7 月 27 日披露之间的约四周时间里，该漏洞是否已被利用；SSD 的公告和 vBulletin 的通知均未涉及这一时间段。
SSD 的技术分析将其标识为 CVE-2026-61511，这是 vBulletin 模板引擎中的一个未经身份验证的远程代码执行漏洞。截至撰写本文时，CVE.org 或国家漏洞数据库（NVD）中尚无相关记录，因此也没有官方严重性评分；NVD 已于今年早些时候停止常规性地为新 CVE 添加 CVSS 评分。
SSD 将发现归功于一位未具名的独立研究员，但发布的利用代码署名 "EgiX"，这是 Egidio Romano 的代号，他曾披露过 vBulletin 2025 年的模板引擎代码执行链。
存在漏洞的代码位于 /includes/vb5/template/runtime.php 中的 vB5_Template_Runtime::runMaths() 方法内，该方法处理模板中的内联数学运算。该函数会剔除限制字符集之外的字符，然后将剩余内容直接传递给 eval()。过滤器会拦截字母，但允许数字、括号、拼接符、算术运算符以及 XOR 等二元运算符，这足以在不使用任何字母的情况下重构 PHP 字符串和可调用的函数名——该公告将这种受限字符技术称为 "phpfuck"。
到达该漏洞无需管理面板。vBulletin 通过公共路由 ajax/render/pagenav 渲染模板，而默认的 pagenav 模板会将访问者提供的 pagenav[pagenumber] 值复制到 {vb:math} 标签中，该标签随后将其传递给 runMaths()。
正是这条链路将模板漏洞转化为预认证远程代码执行；SSD 的 PoC 利用它重建了 PHP 的 system 函数并运行了一条操作系统命令，将输出结果返回到 HTTP 响应中。
The Hacker News 在本地复现了所披露的过滤和评估逻辑，以检查报告的错误。修正拼写错误后，一个无害的 strlen() 测试 payload 成功执行；未修正时，允许列表会剔除多余的字母，留下语法无效的 PHP 代码。该测试确认了表达式构建漏洞，而非针对真实 vBulletin 服务器的完整攻击。
该利用代码自身的标题称该问题为零日漏洞，但厂商的补丁和 6.2.2 版本在公开披露前已发布近四周。利用代码是新的，但它所针对的漏洞早已修复。鉴于 Cloud 版本据称已修复，且自托管版本的修复已发布近一个月，当前风险主要集中在未更新的、面向互联网的自托管论坛上，这是一个比笼统的 "vBulletin RCE" 所暗示的更具体的范围。
防御者可以审查携带 routestring=ajax/render/pagenav 的 POST 请求，检查其中是否包含异常长或运算符密集的 pagenav[pagenumber] 值——这一模式源自公开的 PoC，而非厂商的检测指南。
这是 vBulletin 同一角落此前曾产生过预认证代码执行漏洞。2025 年 5 月的利用链（CVE-2025-48827 和 CVE-2025-48828）通过不同的路径滥用了模板引擎，并在披露后数天内就出现了利用尝试——而当时厂商已在数月前悄悄修复了该漏洞，许多论坛从未应用该修复。
每一轮都如出一辙：先发布静默修复，数周后出现可用的利用代码，而到那时，许多面向互联网的论坛仍在运行存在漏洞的版本。