Công bố mã khai thác công khai cho lỗ hổng RCE trước xác thực của vBulletin (CVE-2026-61511)
"A public exploit was released for a pre-authentication remote code execution flaw in vBulletin's template engine, tracked as CVE-2026-61511. The issue affects vBulletin 6.2.1 and earlier and 6.1.6 and earlier; vendors had already patched affected branches and released vBulletin 6.2.2 before the exploit became public, so self-hosted instances that have not updated remain at risk."
Tác động cao do RCE trước xác thực có thể dẫn tới chiếm quyền thực thi trên máy chủ. Điểm then chốt gồm PHP eval() trong engine template, và khả năng khai thác qua ajax/render/pagenav mà không cần đăng nhập.
Nguy cơ gián đoạn và tổn thất dữ liệu tăng nếu diễn đàn tự host không cập nhật. Tác động tập trung vào các hệ thống internet-facing chưa nâng cấp, trong khi Cloud được cho là đã vá.
Ngày 27/7/2026, thông tin chi tiết về một lỗ hổng thực thi mã từ xa trước xác thực trong vBulletin đã được công bố kèm public exploit. Lỗi được theo dõi là CVE-2026-61511 và có thể cho phép yêu cầu không cần đăng nhập đi qua cơ chế template để kích hoạt PHP eval(), dẫn tới thực thi mã trên máy chủ diễn đàn chưa cập nhật.
Theo SSD Secure Disclosure, các nhánh bị ảnh hưởng gồm vBulletin 6.2.1 và các phiên bản trước, cũng như 6.1.6 và các phiên bản trước. Tuy nhiên, nhà cung cấp đã phát hành bản vá cho các nhánh này vào cuối tháng 6 và ra bản cố định vBulletin 6.2.2 vào ngày 1/7, tức gần 4 tuần trước khi exploit được công khai. Vì vậy, rủi ro tập trung vào các hệ thống tự host chưa nâng cấp; các site Cloud được cho là đã được vá.
Chuỗi tấn công liên quan đến đường dẫn ajax/render/pagenav và giá trị pagenav[pagenumber] được đưa vào thẻ {vb:math}, sau đó được xử lý trong /includes/vb5/template/runtime.php. SSD không ghi nhận khai thác thực tế trong tự nhiên; CISA KEV cũng chưa liệt kê CVE này.
Khuyến nghị: rà soát và vá theo nhánh tương ứng hoặc nâng cấp lên 6.2.2; đồng thời theo dõi các POST tới routestring=ajax/render/pagenav với tham số pagenav[pagenumber] bất thường (dài, nhiều toán tử).