LONDON (IT BOLTWISE) – Ein öffentlich verfügbarer Exploit macht eine Pre-Authentication-Sicherheitslücke in vBulletin konkret: Ungeprüfte Template-Eingaben können bis in PHPs eval()-Funktion führen. Betroffen sind laut SSD Secure Disclosure vBulletin 6.2.1 und früher sowie 6.1.6 und früher, während vBulletin den Fix mit 6.2.2 bereits am 1. Juli ausgerollt hat. In der Analyse bleibt unklar, ob Angreifer die Lücke zwischen Patch und öffentlicher Offenlegung ausgenutzt haben. Für Administratoren selbst gehosteter Foren verlagert sich das Risiko damit klar auf nicht aktualisierte, öffentlich erreichbare Installationen.
Was wie ein klassischer Security-Fall startet, zeigt in der Detailsicht vor allem ein Muster: Ein bereits gepatchter Fehler in vBulletin kann Wochen später durch einen funktionierenden Proof-of-Concept in eine handhabbare Angriffsvorlage verwandelt werden. Der am 27. Juli öffentlich gemachte Exploit beschreibt einen Weg, bei dem eine nicht authentifizierte Anfrage die Template-Ausführung so anstößt, dass am Ende PHPs eval() erreicht wird. Damit reicht im Prinzip ein Internetzugriff auf einen nicht aktualisierten, selbst gehosteten Server – ohne Nutzerkonto, ohne Admin-Rechte und ohne Interaktion anderer Forum-Besucher.
Technisch verortet SSD Secure Disclosure die Schwachstelle als CVE-2026-61511 und ordnet sie als Remote Code Execution ein, die auf der Template-Engine basiert. Als betroffene Versionen werden vBulletin 6.2.1 und früher sowie 6.1.6 und früher genannt; allerdings fehlt laut Bericht eine feinere unteren Grenzversion. vBulletin selbst hatte die relevanten Builds aber Ende Juni mit Sicherheits-Patches für 6.2.1, 6.2.0 und 6.1.6 adressiert und anschließend am 1. Juli mit vBulletin 6.2.2 eine fixierte Version veröffentlicht. Genau in diese Zeitspanne fällt auch der Knackpunkt der Risikoeinordnung: Zwischen dem Ende Juni vorgenommenen Patch und der öffentlichen Exploit-Veröffentlichung lagen fast vier Wochen, und weder SSDs Advisory noch die Herstellerhinweise klären, ob die Lücke in dieser Phase bereits aktiv missbraucht wurde.
Der eigentliche Angriffsmechanismus baut laut Analyse auf einem konkreten Codepfad in /includes/vb5/template/runtime.php auf. Dort sitzt in der Methode vB5_Template_Runtime: : runMaths() die Logik für Inline-Mathematik innerhalb von Templates. Die Funktion entfernt demnach Zeichen, die außerhalb einer eingeschränkten Menge liegen, und übergibt das verbleibende Ergebnis anschließend direkt an eval(). Die erlaubten Zeichen umfassen neben Klammern und Rechenoperatoren auch zulässige binäre Operationen wie XOR. Entscheidend ist dabei nicht, dass der Angreifer „beliebige“ Strings liefern kann, sondern dass die Filterlogik so formuliert ist, dass sich damit dennoch PHP-Ausdrücke rekonstruieren lassen, die Funktionsnamen und String-Bausteine ohne klassische Buchstabenbildung ermöglichen. Der Bericht verwendet dafür den Begriff „phpfuck“.
Auch der Eintrittspunkt ist ungewöhnlich konkret: Eine autorisierte Admin-Route wird nicht benötigt. vBulletin rendert Templates über eine öffentliche Strecke, genannt wird ajax/render/pagenav. Das Standard-Template für „pagenav“ kopiert dabei einen Wert aus pagenav[pagenumber] in ein {vb: math}-Tag. Dieser Wert wird anschließend in runMaths() verarbeitet. Durch diese Kette wird aus einem Template-Parsing-Fehler faktisch ein Pre-Auth RCE-Primitive: Der Proof-of-Concept rekonstruiert die benötigten PHP-Ausdrücke, zielt auf eine Funktionskette ab, und führt dann einen Betriebssystembefehl aus. Die Rückgabe landet in der HTTP-Antwort – ein Indikator, dass die Schwachstelle nicht nur Codeausführung ermöglicht, sondern auch unmittelbar Ergebnisse zurückliefert, was die Ausnutzbarkeit in der Praxis erhöht.
Der öffentliche Exploit selbst liefert dabei noch eine lehrreiche Randnotiz: Laut Analyse enthält das gepostete Skript einen offensichtlichen Tippfehler, der in der vorliegenden Form nicht „out of the box“ läuft. Die Reproduktion der Logik macht diesen Punkt sauber greifbar, weil sich mit korrigierter Schreibweise ein harmloser Test mit strlen() ausführen lässt, während das nicht korrigierte Allowlisting den störenden Buchstaben entfernt und dadurch syntaktisch ungültiges PHP erzeugt. Damit bestätigt sich zwar der Kernfehler in der Filter-/Expression-Building-Mechanik, aber nicht jede publizierte Payload ist automatisch eine einsatzfertige Attacke gegen eine Live-Instanz. Inhaltlich bleibt jedoch: Selbst wenn die bereitgestellte Datei zunächst scheitert, ist der verwundbare Pfad in vBulletin eindeutig und der Aufwand zur Anpassung sehr gering.
Ein zweiter Layer im Risikobild betrifft die zeitliche Wirkungskette. Der Exploit bezeichnet das Problem als „zero-day“, doch die Patch- und Release-Historie spricht dagegen: Mit 6.2.2 existiert der Fix knapp vier Wochen vor der öffentlichen Veröffentlichung des Exploits, und zusätzlich heißt es, vBulletins Cloud-Umgebungen seien bereits gegen die Lücke gepatcht. Das verschiebt den praktischen Fokus auf selbst gehostete Foren, die den Sprung auf die betroffenen Sicherheitsstände nicht vollzogen haben. Genau diese Population ist auch ein realistischer Grund, warum wiederholt ähnliche Template-getriebene Fehler „verspätet“ wirksam werden: Ein Fix wird leise ausgerollt, ein funktionierender Exploit taucht später auf, und viele öffentlich erreichbare Systeme hängen weiterhin an älteren Builds.
Für die Verteidigung bedeutet das, dass Detection nicht nur „CVE-gesteuert“ gedacht werden sollte, sondern verhaltens- und parameterbasiert. Der Bericht nennt als praktikablen Ansatz das Prüfen von POST-Anfragen auf ungewöhnlich lange oder stark operatorgetriebene Werte im Kontext von routestring=ajax/render/pagenav und speziell auffällige pagenav[pagenumber]-Kombinationen. Diese Form der Signatur leitet sich aus dem öffentlichen Proof-of-Concept ab, nicht aus einer offiziellen Herstellererkennung. Dazu passt der Rückblick: Bereits in der Ecke der Template-Engine wurden vorangegangene Pre-Auth Code Execution-Ketten ausgenutzt, unter anderem mit CVE-2025-48827 und CVE-2025-48828. Dort folgten nach einer Disclosure offenbar schnelle Ausnutzungsversuche, obwohl die Fixes zuvor intern/seitens des Herstellers verfügbar waren. Unternehmen, die Foren betreiben, sollten daher nicht nur die aktuelle Version prüfen, sondern auch den Patch-Prozess für internet-facing Applikationen als verbindlichen Betriebssicherheitsstandard behandeln.
Wenn Sie die nächsten Schritte planen, lohnt sich eine kurze, zielgerichtete Bestandsaufnahme: vBulletin selbst empfiehlt Administratoren, die selbst hosten, ihren Branch entweder auf die gepatchten Builds zu bringen oder direkt auf vBulletin 6.2.2 zu aktualisieren. Parallel kann ein Cloud-Umfeld als separater Risikobereich betrachtet werden, falls es unterschiedliche Release-Zyklen gibt. Entscheidend ist aber die operative Konsequenz aus dem Zeitverzug zwischen Fix und Exploit-Umsetzung: Wer Patch-Window-Latenzen reduziert, senkt nicht nur das Risiko einer bekannten CVE, sondern auch die Wahrscheinlichkeit, dass ein öffentlich funktionierender Proof-of-Concept in der Praxis noch auf unberührte Systeme trifft.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "vBulletin: Öffentlicher Exploit zeigt Pre-Auth RCE über Template-eval()" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "vBulletin: Öffentlicher Exploit zeigt Pre-Auth RCE über Template-eval()" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »vBulletin: Öffentlicher Exploit zeigt Pre-Auth RCE über Template-eval()« bei Google Deutschland suchen, bei Bing oder Google News!