Kerentanan kritis dalam perangkat lunak forum vBulletin memungkinkan penyerang yang tidak diautentikasi mengeksekusi kode PHP sewenang-wenang melalui rendering template.
Masalah keamanan dilacak sebagai CVE-2026-61511 dan mempengaruhi versi vBulletin di cabang 5.x dan 6.x masing-masing hingga 5.7.5 dan 6.2.1.
vBulletin adalah platform forum berpemilik berbasis PHP yang dirilis pada tahun 2000 dan digunakan oleh komunitas online besar, situs game, portal dukungan, forum otomotif, forum teknologi, dan papan diskusi.
Meskipun platform ini telah kehilangan popularitas selama bertahun-tahun karena solusi yang lebih baru dan modern, platform ini masih mempertahankan pangsa pasar yang signifikan.
Peneliti keamanan independen Egidio Romano menemukan kelemahan tersebut dan melaporkannya melalui program penasihat SSD Secure Disclosure dan menerbitkan a penulisan teknis.
Menurut Romano, kelemahan ini disebabkan oleh fungsi ‘runMaths()’, yang tidak membersihkan input pengguna dengan benar sebelum meneruskannya ke fungsi eval() PHP, yang seharusnya dibatasi hanya pada ekspresi matematika.
Peneliti menemukan bahwa penyerang yang tidak diautentikasi dapat mengeksploitasi kelemahan tersebut dengan mengirimkan permintaan yang dibuat khusus ke ‘ajax/render/[template]’ titik akhir.
Permintaan diproses oleh templat yang rentan, seperti ‘pagenav’, yang pada akhirnya meneruskan masukan yang dikontrol penyerang ke fungsi eval() PHP, sehingga menghasilkan eksekusi kode jarak jauh.
Pengungkapan Aman SSD juga telah menerbitkan a analisis teknis untuk CVE-2026-61511, menjelaskan bahwa pembatasan sanitasi dapat dilewati dengan menggunakan apa yang disebut teknik “phpfuck”..
Para peneliti juga menerbitkan eksploitasi proof-of-concept (PoC) yang menargetkan rute ajax/render/pagenav dan mengeksekusi perintah sistem sewenang-wenang pada server yang rentan.
Ketersediaan PoC publik untuk CVE-2026-61511 menurunkan penghalang bagi penyerang dan biasanya mengarah pada peningkatan upaya pemindaian dan eksploitasi terhadap server vBulletin yang terhubung ke internet yang belum dipatch.
Hal ini menjadi sorotan pada bulan Mei 2025, ketika pelaku ancaman menggunakan PoC publik untuk menemukan dua kelemahan vBulletin yang kritis, yang juga ditemukan oleh Romano, untuk menargetkan instance yang belum di-patch.
CVE-2026-61511 dilaporkan ke vBulletin pada tanggal 25 Juni 2026, dan versi 6.2.2, yang mengatasi kelemahan tersebut, telah dirilis pada 1 Juli.
Patch keamanan telah di-backport ke rilis sebelumnya, ditandai sebagai ‘Patch Level 1’, termasuk untuk v6.2.1, v6.2.0, dan v.6.1.6.
Wayne Luke, pimpinan dukungan teknis vBulletin, dinyatakan di forum proyek bahwa pengguna versi lama sebaiknya mengupgrade ke rilis yang lebih baru, sehingga dapat disimpulkan bahwa tidak akan ada pembaruan untuk mengatasi CVE-2026-61511 di cabang 5.x.
Uji setiap lapisan sebelum penyerang melakukannya
Tim keamanan mencatat 54% serangan yang berhasil dan hanya memberikan peringatan 14%. Sisanya bergerak melalui lingkungan Anda tanpa terlihat.
Whitepaper Picus menunjukkan bagaimana simulasi pelanggaran dan serangan menguji aturan SIEM dan EDR Anda sehingga ancaman berhenti lolos saat terdeteksi.
