Cảnh báo: Lỗ hổng RCE trên vBulletin bị công khai mã khai thác (Exploit)

Một mã khai thác (exploit) vừa được công bố rộng rãi, cho phép kẻ tấn công thực thi mã từ xa (RCE) trên các máy chủ diễn đàn vBulletin mà không cần thông qua bước xác thực. Lỗ hổng này cho phép kẻ tấn công gửi các yêu cầu độc hại trực tiếp đến hàm eval() của PHP thông qua engine xử lý template của vBulletin.

Chi tiết về lỗ hổng

Lỗ hổng (được định danh là CVE-2026-61511) nằm trong phương thức vB5_Template_Runtime::runMaths() tại tệp tin /includes/vb5/template/runtime.php. Phương thức này vốn được thiết kế để xử lý các phép tính toán học trong template. Tuy nhiên, cơ chế lọc dữ liệu đầu vào không đủ chặt chẽ, cho phép kẻ tấn công sử dụng các toán tử logic và ký tự đặc biệt để tái cấu trúc các hàm PHP (kỹ thuật được gọi là “phpfuck”), từ đó thực thi lệnh hệ điều hành.

Kẻ tấn công có thể khai thác lỗ hổng này thông qua route công khai ajax/render/pagenav mà không cần tài khoản quản trị hay bất kỳ tương tác nào từ người dùng khác.

Phạm vi ảnh hưởng và cập nhật

Các phiên bản vBulletin 6.2.1 trở về trước và 6.1.6 trở về trước được xác định là có lỗ hổng. Mặc dù vBulletin đã phát hành các bản vá từ cuối tháng 6 và bản cập nhật chính thức 6.2.2 vào ngày 1 tháng 7, việc mã khai thác được công khai vào ngày 27 tháng 7 tạo ra rủi ro lớn cho các hệ thống chưa được cập nhật.

Các khuyến nghị cho quản trị viên:

• Cập nhật ngay lập tức: Nếu đang vận hành vBulletin tự lưu trữ (self-hosted), hãy nâng cấp lên phiên bản 6.2.2 hoặc áp dụng bản vá mới nhất cho nhánh phiên bản đang sử dụng.
• Giám sát hệ thống: Kiểm tra các yêu cầu POST gửi đến routestring=ajax/render/pagenav có chứa các giá trị pagenav[pagenumber] bất thường hoặc chứa nhiều toán tử lạ.
• Lưu ý: Các nền tảng vBulletin Cloud đã được nhà cung cấp vá lỗi tự động.

Hiện tại, chưa có báo cáo về việc lỗ hổng này bị khai thác trong thực tế (in-the-wild). Tuy nhiên, với việc mã khai thác đã được công khai, các diễn đàn chưa cập nhật bản vá đang đối mặt với nguy cơ bị tấn công rất cao.

Nguồn tham khảo: The Hacker News