Detalhes públicos de um exploit divulgados em 27 de julho mostram como uma requisição sem autenticação pode alcançar a função eval() do PHP dentro do vBulletin e executar código em um servidor de fórum sem patch.
O ataque não exige conta, acesso administrativo nem interação de outro usuário.
A SSD Secure Disclosure lista como afetadas as versões vBulletin 6.2.1 e anteriores, além de 6.1.6 e anteriores, mas não define um limite inferior de versões.
No fim de junho, o vBulletin publicou patches de segurança para as versões 6.2.1, 6.2.0 e 6.1.6, e lançou a versão corrigida 6.2.2 em 1º de julho, quase quatro semanas antes de o exploit se tornar público.
Administradores que operam instalações próprias devem aplicar o patch correspondente à sua ramificação ou atualizar para a 6.2.2.
Segundo o vBulletin, os sites em Cloud já foram corrigidos contra a falha.
A SSD não informou exploração ativa.
Até 27 de julho de 2026, nenhuma fonte havia confirmado ataques em ambiente real, e a
CVE-2026-61511
não aparecia no catálogo Known Exploited Vulnerabilities da CISA.
A empresa publicou uma prova de conceito interativa, mas o script divulgado contém um erro de um caractere, uma letra no lugar de um dígito, que impede sua execução sem correção.
O erro é trivial de ajustar e não altera a vulnerabilidade em si.
Um ponto que o registro público não esclarece é se a falha foi explorada no intervalo de cerca de quatro semanas entre o patch do fim de junho e a divulgação de 27 de julho.
Nem o alerta da SSD nem os comunicados do vBulletin tratam dessa janela.
A análise técnica da SSD identifica a falha como
CVE-2026-61511
, uma vulnerabilidade de execução remota de código sem autenticação no mecanismo de templates do vBulletin.
No momento da redação, não havia registro na CVE.org nem na National Vulnerability Database e, por isso, também não existia pontuação oficial de severidade.
A NVD deixou de enriquecer rotineiramente novas CVEs com pontuações CVSS no início deste ano.
A SSD credita a descoberta a um pesquisador independente não identificado, embora o exploit publicado esteja assinado como “EgiX”, apelido de Egidio Romano, que revelou a cadeia de execução de código no mecanismo de templates do vBulletin em 2025.
O código vulnerável fica em /includes/vb5/template/runtime.php, dentro do método vB5_Template_Runtime::runMaths(), que trata operações matemáticas embutidas em templates.
A função remove caracteres fora de um conjunto restrito e, em seguida, envia o que resta diretamente para eval().
O filtro bloqueia letras, mas permite dígitos, parênteses, concatenação, operadores aritméticos e operadores binários como XOR, o suficiente para reconstruir strings em PHP e nomes de funções chamadas sem usar letras, por meio de uma técnica de caracteres restritos que o alerta chama de “phpfuck”.
Chegar até esse ponto não exige o painel administrativo.
O vBulletin renderiza templates por uma rota pública, ajax/render/pagenav, e o template padrão pagenav copia um valor pagenav[pagenumber] fornecido pelo visitante para a tag {vb:math}, que o encaminha para runMaths().
Essa cadeia é o que transforma um bug de template em execução remota de código antes da autenticação.
A prova de conceito da SSD usa esse caminho para reconstruir a função system do PHP e executar um comando no sistema operacional, devolvendo a saída na resposta HTTP.
Com a correção do erro de digitação, um payload inofensivo de teste com strlen() foi executado; sem a correção, a lista de permissões removia a letra sobrando e deixava PHP sintaticamente inválido.
O teste confirmou a falha na construção da expressão, não um ataque completo contra um servidor vBulletin em produção.
O próprio banner do exploit chama o problema de zero-day, mas os patches do fornecedor e o lançamento da 6.2.2 vieram quase quatro semanas antes da divulgação pública.
O código do exploit é novo; a falha que ele mira já havia sido corrigida.
Com o Cloud supostamente já atualizado e os fixes para instalações próprias publicados há quase um mês, o risco em ambiente real fica concentrado em fóruns próprios, expostos à internet e ainda sem atualização, uma população mais específica do que a descrição genérica de “RCE no vBulletin” sugere.
Defensores podem revisar requisições POST com routestring=ajax/render/pagenav e valores de pagenav[pagenumber] incomumente longos ou carregados de operadores, um padrão derivado da prova de conceito pública, e não de orientação de detecção do fornecedor.
Este é o mesmo ponto do vBulletin que já gerou execução de código antes da autenticação.
A cadeia de maio de 2025,
CVE-2025-48827
e
CVE-2025-48828
, abusou do mecanismo de templates por um caminho diferente e sofreu tentativas de exploração poucos dias após a divulgação, depois de o fornecedor ter corrigido a falha discretamente meses antes e de muitos fóruns nunca terem aplicado a correção.
Em cada rodada, o roteiro foi o mesmo.
Um ajuste silencioso é liberado primeiro, um exploit funcional aparece semanas depois e, quando isso acontece, muitos fóruns expostos à internet ainda seguem rodando as versões vulneráveis.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...