اکسپلویت عمومی برای آسیب‌پذیری اجرای کد بدون احراز هویت در vBulletin منتشر شد

جزئیات یک آسیب‌پذیری اجرای کد از راه دور (Remote Code Execution) در نرم‌افزار انجمن‌ساز vBulletin در تاریخ ۲۷ ژوئیه منتشر شد که به مهاجم اجازه می‌دهد بدون نیاز به هیچ‌گونه احراز هویت، از طریق تابع eval() در موتور قالب این نرم‌افزار، کد دلخواه را روی سرور اجرا کند. این آسیب‌پذیری با شناسه CVE-2026-61511 در نسخه‌های ۶.۲.۱ و قدیمی‌تر و ۶.۱.۶ و قدیمی‌تر تأثیرگذار است. کد آسیب‌پذیر در متد runMaths() قرار دارد که ورودی کاربر را پس از فیلتر ناقص مستقیماً به eval() ارسال می‌کند؛ مهاجم می‌تواند از طریق مسیر عمومی ajax/render/pagenav و با استفاده از تکنیکی موسوم به «phpfuck» بدون استفاده از حروف الفبا، توابع PHP را بازسازی و دستورات سیستم‌عامل را اجرا کند. شرکت vBulletin وصله‌های امنیتی را در اواخر ژوئن و نسخه ۶.۲.۲ را در اول ژوئیه، تقریباً چهار هفته پیش از انتشار عمومی اکسپلویت، منتشر کرده بود و سایت‌های ابری این شرکت نیز از قبل وصله شده‌اند.

خطر اصلی متوجه نصب‌های خودمیزبان (self-hosted) اینترنتی است که هنوز به‌روزرسانی نشده‌اند. تاکنون هیچ مدرکی از بهره‌برداری فعال در محیط واقعی تأیید نشده و این آسیب‌پذیری در فهرست آسیب‌پذیری‌های شناخته‌شده مورد بهره‌برداری آژانس CISA ثبت نشده است؛ هرچند بازه چهار هفته‌ای میان انتشار وصله و افشای عمومی همچنان بی‌پاسخ مانده است. این الگو با رویداد مشابه می ۲۰۲۵ (CVE-2025-48827 و CVE-2025-48828) تکرار شده که در آن نیز وصله بی‌سروصدا منتشر شد، اکسپلویت هفته‌ها بعد عمومی شد و بسیاری از انجمن‌ها هرگز به‌روزرسانی را اعمال نکردند. مدیران سرورها باید فوراً وصله مربوط به شاخه نسخه خود را اعمال یا به نسخه ۶.۲.۲ ارتقا دهند.