vBulletin ha corregido la vulnerabilidad CVE-2026-61511, un fallo crítico de ejecución remota de código. Este error permitía que atacantes no autenticados ejecutaran código PHP arbitrario para comprometer servidores de foros vulnerables. El problema afectaba a las versiones 6.2.1 y anteriores, así como a las 6.1.6 y anteriores, localizándose específicamente en el método vB5_Template_Runtime::runMaths() del archivo /includes/vb5/template/runtime.php.

vBulletin ha corregido la CVE-2026-61511, un fallo crítico de ejecución remota de código que podría permitir a atacantes no autenticados ejecutar código PHP arbitrario y comprometer servidores de foros vulnerables. Este problema afecta a las versiones 6.2.1 y anteriores de vBulletin, así como a las versiones 6.1.6 y anteriores.

El fallo se encuentra en el archivo /includes/vb5/template/runtime.php, concretamente dentro del método vB5_Template_Runtime::runMaths(). Esta función procesa los valores utilizados por la etiqueta de plantilla {vb:math} de vBulletin.

El código vulnerable intenta restringir la entrada con una expresión regular antes de pasar el resultado a la función eval() de PHP. Sin embargo, el filtrado es insuficiente, lo que permite caracteres como dígitos, paréntesis, operadores aritméticos, operadores binarios y el operador XOR.

Dado que la aplicación evalúa la cadena resultante como código PHP, los atacantes pueden aprovechar métodos conocidos como técnicas “PHPFuck” para construir nombres de funciones y comandos sin utilizar directamente caracteres alfabéticos bloqueados.

Vulnerabilidad de vBulletin

Los investigadores señalaron que explotar esta vulnerabilidad no requiere acceso de administrador. Un atacante puede explotar la ruta ajax/render/[template] para renderizar una plantilla que contenga una etiqueta {vb:math} con datos controlados por el atacante.

Por ejemplo, la plantilla pagenav asigna el parámetro de solicitud pagenav[pagenumber] a una variable de plantilla, que luego se utiliza en una expresión matemática que llega a la función vulnerable runMaths().

Como resultado, una solicitud especialmente diseñada puede llevar al servidor a evaluar expresiones PHP controladas por el atacante. Una explotación exitosa podría permitir a los atacantes ejecutar comandos del sistema operativo bajo los permisos del proceso del servidor web.

Este nivel de acceso podría resultar en el robo de datos, la alteración del sitio web, la implementación de malware, la recolección de credenciales o el movimiento lateral dentro del entorno de alojamiento. Debes priorizar la aplicación de parches en los foros de vBulletin expuestos a Internet, ya que la explotación puede ocurrir sin autenticación.

Investigadores independientes que trabajan con SSD Secure Disclosure informaron la vulnerabilidad, que vBulletin corrigió en la versión 6.2.2 y parcheó en versiones anteriores compatibles.

Si eres administrador, debes actualizar inmediatamente a la versión 6.2.2 de vBulletin o aplicar los parches proporcionados por el proveedor para las versiones afectadas 6.2.1, 6.2.0 y 6.1.6.

Tu organización también debería monitorizar los registros del servidor web en busca de solicitudes inusuales relacionadas con ajax/render/pagenav, routestring o valores inesperados de pagenav[pagenumber].

Se aconseja a los equipos de seguridad investigar señales de compromiso, incluyendo archivos PHP recién creados, conexiones salientes inesperadas, procesos hijos del servidor web sospechosos, plantillas alteradas y cuentas de administrador no autorizadas.

Fuentes:
https://cybersecuritynews.com/vbulletin-flaw-execute-php-code/