LONDON (IT BOLTWISE) – Ein veröffentlichter Exploit zeigt, wie eine pre-authenticated Remote Code Execution in vBulletin über eine Template-Engine-Kette bis zu PHPs eval() gelangt. Betroffen gelten insbesondere vBulletin 6.2.1 und früher sowie 6.1.6 und früher; behoben wurde der Fehler laut Hersteller mit 6.2.2. Zwar gibt es zum Zeitpunkt der Veröffentlichung keine bestätigten In-the-wild-Angriffe, doch das Zeitfenster zwischen Fix und Disclosure wirkt wie ein Risikofilter für selbst gehostete, öffentlich erreichbare Foren. Administratoren sollten ihre Installationen für ihre Versionslinie patchen oder direkt auf 6.2.2 aktualisieren.
Eine neue Welle für Sicherheitsverantwortliche in Foren-Setups startet mit einem veröffentlichten Exploit-Detail am 27. Juli. Der Kern: Eine unauthentifizierte Anfrage kann in vBulletin in der Template-Engine eine Auswertung auslösen, die direkt in PHPs eval() mündet. Damit kippt ein zunächst „Template-basiertes“ Problem in Richtung Remote Code Execution, und zwar ohne Konto, ohne Adminrechte und ohne Interaktion eines anderen Nutzers. Genau diese Pre-Auth-Fähigkeit ist der Grund, warum selbst scheinbar abgelegene Forenfunktionen zum Einfallstor werden können.
Technisch betrachtet sitzt die verwundbare Stelle im Pfad /includes/vb5/template/runtime.php innerhalb der Methode vB5_Template_Runtime: : runMaths(). Die Funktion verarbeitet Inline-Mathematik-Tags in Templates und arbeitet dabei mit einer Filterlogik, die eine eingeschränkte Zeichenmenge erlaubt. Entscheidend ist jedoch nicht, dass einzelne Zeichen ausgeschlossen werden, sondern dass das verbleibende Ergebnis anschließend „direkt“ weitergereicht wird: Nach dem Strip wird der Rest ohne zusätzliche sichere Parsing-Schicht über eval() ausgeführt. Der öffentliche Advisory-Bezug ordnet diese Technik als „phpfuck“ ein – eine Allowlist-basierte Strategie, mit der sich aus erlaubten Zeichen wieder tragfähige PHP-Ausdrücke und Funktionsnamen rekonstruieren lassen, selbst wenn Buchstaben aus dem Eingang unterdrückt werden.
Die Angriffslogik setzt dabei an einer konkreten Render-Kette an, die für Besucher öffentlich erreichbar ist. vBulletin rendert Templates über eine öffentliche Route wie ajax/render/pagenav. Das Standard-Template für die Seitenavigation kopiert einen vom Besucher gelieferten Wert – konkret pagenav[pagenumber] – in einen {vb: math}-Tag, wodurch runMaths() ausgelöst wird. So entsteht die Verbindung zwischen einem Template-Parameter und der Ausführungskette: Ein Template-Engine-Fehler wird dadurch nicht nur zur Sicherheitsfrage für eingeloggte Redakteure, sondern zur pre-auth-Ebene für jeden Client, der die Route ansprechen kann. In der öffentlich bereitgestellten PoC wird das erlaubt-komponierte Ausdrucksfragment genutzt, um PHP-Funktionen rekonstruktionsfähig zu machen und schließlich einen Betriebssystembefehl abzusetzen; die Antwort landet dann im HTTP-Body.
Für die Risikoabschätzung ist die Patch- und Disclosure-Chronologie besonders wichtig. SSD Secure Disclosure listet vBulletin 6.2.1 und früher sowie 6.1.6 und früher als betroffen, nennt aber keine sauber begrenzte „untere“ Version. Laut Hersteller wurden Sicherheits-Patches für 6.2.1, 6.2.0 und 6.1.6 Ende Juni veröffentlicht, die fest gepatchte Version 6.2.2 folgte am 1. Juli – fast vier Wochen, bevor der Exploit öffentlich im Detail diskutiert wurde. Der Anbieter weist außerdem darauf hin, dass Cloud-Betriebe bereits gepatcht seien. Zum Zeitpunkt der Veröffentlichung gab es keine Bestätigung für aktive Ausnutzung „in freier Wildbahn“, und CVE-2026-61511 war nicht in der von CISA gepflegten „Known Exploited Vulnerabilities“-Liste verzeichnet. Das verschiebt die Wahrscheinlichkeit: Nicht „jede vBulletin-Installation“, sondern vor allem selbst gehostete, internetexponierte Foren ohne sauberen Versionssprung sind die bevorzugte Angriffsfläche.
Ein zusätzlicher Realitätscheck ergibt sich aus der Art, wie die öffentliche PoC funktionierte. Die interaktive Proof-of-Concept wurde zwar veröffentlicht, der Skriptcode enthielt aber einen trivialen Ein-Zeichen-Fehler: Eine Stelle erwartete eine Ziffer, enthielt jedoch einen Buchstaben. Dadurch lief das Skript unverändert nicht; nach Korrektur zeigte sich bei lokalen Tests ein harmloser strlen()-Payload als funktionsfähige Beweisführung. Wichtig ist die Einordnung: Das bestätigt die Schwachstellenlogik und die fehlerhafte Ausdrucksrekonstruktion, aber es war kein „fertiger Angriff“ gegen ein Live-Forum in jedem Szenario. Gleichzeitig bleibt das Risikoverhalten grundsätzlich plausibel, weil die zugrunde liegende Verwundbarkeit bereits mit den Vendor-Fixes adressiert worden sein sollte – die reale Gefahr entsteht also vor allem durch nicht aktualisierte Systeme im Zeitraum zwischen Patch und Veröffentlichung.
Auch das Vergleichsmuster mit früheren Template-Engine-Ketten lässt sich in die Gegenmaßnahmen übersetzen. Für vBulletin wurden bereits 2025 präauth-Angriffe diskutiert, die über die Template-Engine liefen und innerhalb kurzer Zeit nach einer öffentlichen Offenlegung wieder auftauchten, obwohl Fixes teils früher existierten und viele Betreiber offenbar nicht sofort migrierten. Das aktuelle Muster wirkt ähnlich: Ein „quiet“ Fix geht früh raus, später erscheint ein funktionierender Exploit, und bis dahin laufen viele öffentlich erreichbare Instanzen noch mit verwundbaren Builds. Für die Detection ergibt sich daraus ein praktischer Ansatz: Sicherheitsverantwortliche können POST-Anfragen auf ajax/render/pagenav mit auffällig langen oder operatorreichen Werten für pagenav[pagenumber] prüfen. Diese Signatur leitet sich aus der veröffentlichten PoC ab und ist damit eher ein zielgerichteter Suchhorizont als eine generische „vBulletin-RCE“-Warnung.
Konsequent umgesetzt heißt das: Patchen oder upgraden, und zwar pro Versionslinie, nicht nur „irgendwann“. Administratoren sollten die betroffenen Releases in ihrer Umgebung identifizieren (vorrangig 6.2.1 und älter bzw. 6.1.6 und älter) und dann entweder den passenden Branch-Patch einspielen oder auf 6.2.2 wechseln. Wer Cloud-Hosting nutzt, kann sich laut Anbieterangabe auf bereits bereinigte Setups stützen; wer hingegen selbst hostet, muss die eigene Internet-Exponierung besonders ernst nehmen, weil die Schwachstelle ohne Authentifizierung bis zur Template-Engine-Kette durchgreift. Am Ende entscheidet nicht, ob ein System die „richtige“ Funktion bereitstellt, sondern ob es öffentlich eine Route nutzt, die vom Besucherparameter zum {vb: math}-Tag führt – genau dort sollte der Sicherheitsbereich zuerst ansetzen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Ungepatchter vBulletin-Fehler: Öffentliche PoC zeigt Pre-Auth Remote Code Execution" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Ungepatchter vBulletin-Fehler: Öffentliche PoC zeigt Pre-Auth Remote Code Execution" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Ungepatchter vBulletin-Fehler: Öffentliche PoC zeigt Pre-Auth Remote Code Execution« bei Google Deutschland suchen, bei Bing oder Google News!