文章总结： CVE-2026-61511是vBulletin论坛系统的严重未授权远程代码执行漏洞，PoC已公开。漏洞源于runMaths()方法中过滤不严的输入传入eval()函数，攻击者可通过ajax/render路由利用。影响6.2.1及更早版本和6.1.6及更早版本。建议立即升级至6.2.2或应用安全补丁。 综合评分： 88 文章分类： 漏洞分析,应急响应,漏洞预警

CVE-2026-61511：vBulletin未经身份验证的远程代码执行漏洞，公开PoC已披露

sec随谈 sec随谈

sec随谈

2026年7月27日 17:55 北京

在小说阅读器读本章

去阅读

摘要

一个针对CVE-2026-61511的公开概念验证（PoC）代码已经出现，该漏洞是vBulletin论坛系统中一个无需身份验证即可利用的远程代码执行（RCE）漏洞。这一漏洞源于一处数学表达式解析缺陷，允许未经身份验证的攻击者在服务器上执行PHP代码。vBulletin已在6.2.2版本中修复了该问题。

为何这一vBulletin未授权RCE漏洞值得重视

vBulletin为众多高流量论坛提供支持。此漏洞无需登录，也无需任何用户交互——因此，任何暴露在外的6.x版本论坛都会成为直接攻击目标。一旦利用成功，攻击者便可以Web服务器的身份执行任意PHP代码，这可能导致网站被完全接管，以及会员数据遭到访问。

攻击原理

该问题出现在vBulletin模板运行时环境中的runMaths()方法中。该方法将过滤不严的输入直接传入了PHP的eval()函数进行执行。其过滤规则允许数字、括号以及运算符（包括XOR异或运算符）通过，因此攻击者可以利用一些已知的字符构造技巧，将任意PHP代码编码后传入。

未经身份验证的请求可通过ajax/render路由到达存在漏洞的代码。一个被污染的页码参数会流入{vb:math}标签，随后进入eval()函数执行。SSD Secure Disclosure在其公开发布的安全公告中详细记录了这一完整的攻击链条。

公开披露与利用现状

目前该漏洞的详细技术信息以及一个可用的概念验证（PoC）代码均已公开。相关公告中附带了由研究员EgiX编写的完整利用代码。截至目前，研究人员尚未确认存在在野利用情况。

受影响版本

该漏洞影响vBulletin 6.2.1及更早版本，以及6.1.6及更早版本，这两个分支共享着同一段存在漏洞的模板代码。

补丁与应对措施

请立即升级至vBulletin 6.2.2版本。如果暂时使用的是较旧版本，可分别针对6.2.1、6.2.0和6.1.6版本应用官方发布的安全补丁。完成升级或打补丁后，即可彻底修复此vBulletin未授权RCE漏洞。

参考链接：

https://forum.vbulletin.com/forum/vbulletin-announcements/vbulletin-announcements_aa/4509358-security-patch-released-for-vbulletin-6-2-1-6-2-0-and-6-1-6

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：sec随谈 sec随谈 sec随谈《CVE-2026-61511：vBulletin未经身份验证的远程代码执行漏洞，公开PoC已披露》