Kritische RCE-Schwachstelle in vBulletin: Öffentlicher Exploit verfügbar

Eine kritische Schwachstelle in vBulletin kann es nicht authentifizierten Angreifern ermöglichen, beliebigen PHP-Code auf anfälligen Forenservern auszuführen. Die als CVE-2026-61511 verfolgte Sicherheitslücke betrifft mehrere Versionen der 5.x- und 6.x-Reihen. Inzwischen ist auch ein öffentlicher Proof-of-Concept-Exploit verfügbar.

Administratoren sollten die verfügbaren Sicherheitsupdates umgehend installieren. Besonders gefährdet sind öffentlich über das Internet erreichbare Foren, da Angreifer die Schwachstelle ausnutzen können, ohne sich zuvor anzumelden.

CVE-2026-61511 betrifft vBulletin 5.x und 6.x

Die kritische RCE-Schwachstelle in vBulletin betrifft Versionen bis einschließlich vBulletin 5.7.5 und vBulletin 6.2.1. vBulletin ist eine etablierte PHP-basierte Forenplattform, die von Online-Communitys, Support-Websites, Gaming-Foren und Diskussionsplattformen eingesetzt wird.

Obwohl neuere Forenlösungen Marktanteile gewonnen haben, betreiben viele Organisationen weiterhin vBulletin-Server. Daher könnte die Schwachstelle eine beträchtliche Zahl öffentlich erreichbarer Websites betreffen.

Der Sicherheitsforscher Egidio Romano entdeckte die Schwachstelle und meldete sie über das SSD Secure Disclosure-Programm.

Fehler beim Template-Rendering ermöglicht Remote Code Execution

Die Schwachstelle liegt in der Funktion runMaths(), die benutzergesteuerte Eingaben nicht sicher verarbeitet, bevor sie an die PHP-Funktion eval() übergeben werden.

Ein Angreifer kann eine speziell präparierte Anfrage an einen anfälligen Endpunkt für das Template-Rendering senden. Bestimmte Templates leiten diese Eingaben anschließend an die betroffene Funktion weiter, wodurch beliebiger PHP-Code auf dem Server ausgeführt werden kann.

Laut SSD Secure Disclosure lassen sich die Eingabebeschränkungen mit einer als „phpfuck“ bekannten Technik umgehen. Sicherheitsforscher haben zudem einen Proof-of-Concept-Exploit veröffentlicht, der die Ausführung von Befehlen auf betroffenen Systemen demonstriert.

Öffentlicher Exploit erhöht das Risiko für ungepatchte Foren

Öffentlich verfügbarer Exploit-Code führt häufig dazu, dass anfällige Systeme schneller gescannt und vermehrt angegriffen werden. Angreifer können den Code nutzen, um exponierte und ungepatchte vBulletin-Server zu identifizieren und zu versuchen, diese aus der Ferne zu übernehmen.

Das Risiko ist nicht nur theoretischer Natur. Im Mai 2025 nutzten Bedrohungsakteure öffentliche Exploits für zwei weitere kritische vBulletin-Schwachstellen, die ebenfalls von Romano entdeckt worden waren, um ungepatchte Installationen anzugreifen.

Administratoren sollten CVE-2026-61511 daher als Sicherheitsproblem mit höchster Patch-Priorität behandeln.

vBulletin veröffentlicht Patches für unterstützte 6.x-Versionen

vBulletin erhielt den Schwachstellenbericht am 25. Juni 2026 und veröffentlichte am 1. Juli vBulletin 6.2.2 mit einer entsprechenden Fehlerbehebung.

Das Unternehmen hat das Update außerdem als Patch Level 1 auf vBulletin 6.2.1, 6.2.0 und 6.1.6 zurückportiert.

Nutzer, die weiterhin die ältere 5.x-Reihe einsetzen, müssen möglicherweise auf eine neuere Version aktualisieren. Das technische Supportteam von vBulletin hat Kunden mit älteren Versionen empfohlen, auf eine weiterhin unterstützte Version umzusteigen. Dies deutet darauf hin, dass für die 5.x-Reihe möglicherweise keine Sicherheitsupdates mehr veröffentlicht werden.