vBulletinに認証不要のRCE 脆弱性 CVE-2026-61511、公開PoCありで6.2.2への更新を推奨

フォーラム構築ソフトウェア「vBulletin」に、認証を必要とせず遠隔から任意のPHPコードを実行できる脆弱性CVE-2026-61511が公表されました。CVSS v3.1の基本値は9.8、CVSS v4.0は9.3で、いずれも深刻度はCriticalです。影響を受けるのはvBulletin 5.0.0から5.7.5までと、6.0.0から6.2.1までです。修正版のvBulletin 6.2.2と、対応するセキュリティパッチが公開されています。技術情報と概念実証コードも公開されているため、インターネット上でvBulletinを運用している組織は、実際の攻撃が確認されるまで待たずに対応する必要があります。

• vBulletinのテンプレート処理に認証不要のリモートコード実行脆弱性が確認されました
• CVE番号はCVE-2026-61511です
• CVSS基本値はv3.1で9.8、v4.0で9.3と評価されています
• 影響を受けるバージョンはvBulletin 5.0.0から5.7.5までと、6.0.0から6.2.1までです
• 攻撃者はアカウントや利用者操作を必要とせず、細工したリクエストからPHPコードを実行できる可能性があります
• 修正版はvBulletin 6.2.2で、6.2.1、6.2.0、6.1.6向けのセキュリティパッチも案内されています
• 2026年7月27日に技術情報と公開PoCが公表されました
• 本稿執筆時点で悪意ある攻撃への実利用は確認されていませんが、自動化可能な攻撃として警戒が必要です

vBulletinで認証不要のリモートコード実行

SSD Secure Disclosureは2026年7月27日、vBulletinのテンプレート処理に存在するリモートコード実行脆弱性CVE-2026-61511を公表しました。

攻撃者はvBulletinの利用者アカウントや管理者権限を必要とせず、インターネット経由で細工したリクエストを送信することで、Webサーバー上に任意のPHPコードを実行できる可能性があります。

CVSS v3.1の評価は9.8で、攻撃元区分はネットワーク、攻撃条件の複雑さは低、必要な権限はなし、利用者操作も不要とされています。機密性、完全性、可用性への影響はいずれも高です。

フォーラムを外部公開している一般的な構成では、攻撃者が脆弱な処理へ到達できる可能性があります。認証画面の内側だけに存在する管理機能の問題ではないため、公開サーバーは優先的に更新する必要があります。

影響を受けるバージョン

CVEの公式記録では、次のバージョンが影響を受けるとされています。

• vBulletin 5.0.0から5.7.5まで
• vBulletin 6.0.0から6.2.1まで

vBulletin 6.2.2は影響を受けないバージョンとして登録されています。

SSD Secure Disclosureの初期説明では、vBulletin 6.2.1以前と6.1.6以前が影響対象として示されていました。その後に公開されたCVE記録では、vBulletin 5.xを含む影響範囲が明確化されています。

ベンダーのセキュリティパッチ案内は、vBulletin 6.2.1、6.2.0、6.1.6を対象としています。これより古い5.xや6.xを運用している場合は、個別パッチの適用可否だけで判断せず、サポートされているvBulletin 6.2.2以降への移行を検討する必要があります。

原因はテンプレート処理のEvalインジェクション

脆弱性は、vBulletinのテンプレート実行処理を実装するファイル内のrunMaths()メソッドに存在します。

この処理は、テンプレート内で数式を評価するため、入力文字列を整形した後にPHPのeval()へ渡していました。しかし、入力値を制限する正規表現が十分ではなく、許可された記号や演算子を組み合わせることで、想定外のPHPコードを生成できる状態でした。

この問題はCWE-95に分類されています。動的に評価されるコードへ渡す命令を適切に無害化できていない脆弱性です。

eval()は文字列をPHPコードとして実行するため、入力値の制御に不備があると、単なる数式処理の問題からサーバー上のコード実行へ影響が拡大します。

今回のケースでは、テンプレート内の数式処理と、外部から入力できるパラメーターが接続されていたことが、認証不要の攻撃を可能にしました。

テンプレート描画ルートから攻撃可能

vBulletinには、指定したテンプレートを非同期で描画するルートがあります。研究者によると、既定のページナビゲーション用テンプレートでは、外部から渡されたページ番号がテンプレート変数へ設定され、その値が数式処理へ渡されます。

攻撃者はこの処理経路を利用し、十分に無害化されていない入力をrunMaths()へ到達させることが可能でした。

管理者が不正なテンプレートを登録する必要はありません。既定テンプレートと認証不要の描画処理を組み合わせることで、外部の攻撃者が脆弱なコードへ到達できます。

本記事では悪用を直接可能にするペイロードや攻撃コードは記載しません。技術情報と実行可能な概念実証コードはすでに一般公開されているため、脆弱なサーバーをインターネット上へ残す危険性が高まっています。

攻撃に成功した場合の影響

CVE-2026-61511の悪用に成功すると、攻撃者はvBulletinを動かしているWebサーバーの権限でPHPコードを実行できる可能性があります。

想定される影響には、次のようなものがあります。

• フォーラムのページやテンプレートの改ざん
• Webシェルやバックドアの設置
• vBulletinの設定ファイルやデータベース認証情報の窃取
• 会員情報、投稿データ、非公開メッセージへの不正アクセス
• 管理者アカウントや新規ユーザーの不正作成
• フィッシングページやマルウェア配布ページの設置
• サーバーを踏み台とした内部ネットワークへの侵入
• ファイル削除やサービス停止

実際に到達できる範囲は、Webサーバープロセスの権限、ファイル権限、ネットワーク分離、データベースの接続権限によって異なります。

Webサーバーが過剰な権限で稼働している場合や、同じサーバー上に複数サイトを収容している場合は、vBulletin以外のシステムへ影響が広がる可能性があります。

公開PoCはあるが実悪用は未確認

研究者は2026年7月27日、脆弱性の技術的な説明と概念実証コードを公開しました。

NVDに掲載されたCISAのSSVC情報でも、悪用状況はPoCあり、自動化可能、技術的影響は全面的と評価されています。

一方、本稿執筆時点では、攻撃者が実環境でCVE-2026-61511を悪用したことを示す公式発表は確認されていません。

公開PoCが存在することと、実際の攻撃が確認されていることは区別する必要があります。ただし、認証不要、低い攻撃複雑性、利用者操作不要という条件がそろっているため、公開後に探索や攻撃が始まる可能性を考慮すべきです。

公開PoCがある脆弱性では、攻撃者がコードを解析して独自の攻撃ツールへ組み込むまでの時間が短くなります。Control Web Panelの脆弱性CVE-2026-57517でも、技術情報とPoCの公開後は、修正の優先度を引き上げる必要性を取り上げています。

修正版とパッチの適用方法

最も明確な対応は、vBulletin 6.2.2以降へ更新することです。

vBulletinは2026年6月30日、6.2.1、6.2.0、6.1.6向けのセキュリティパッチを公開し、翌7月1日に修正を含むvBulletin 6.2.2を公開しました。

同じメジャー・マイナーバージョンを維持する必要がある場合は、ベンダーが提供する正式なパッチを適用します。ただし、古い5.xや対応一覧に含まれない6.xでは、パッチファイルの一部だけを手作業で移植する対応は避けるべきです。

テンプレートエンジンや実行環境に関連する変更は、テーマ、プラグイン、カスタマイズコードへ影響する可能性があります。検証環境で表示、投稿、検索、管理画面、外部連携を確認したうえで本番へ反映してください。

更新前には、データベースとファイルのバックアップを取得します。ただし、すでに侵害されている可能性がある環境では、バックアップを取得して更新するだけでは不十分です。不審なファイルやアカウントを残したまま復旧しないよう、侵害調査を並行して行う必要があります。

更新できない場合の暫定対応

業務上の理由で直ちに更新できない場合は、vBulletinへの外部アクセスを一時的に制限することを検討してください。

社内利用や特定会員向けのフォーラムであれば、VPN、IPアドレス制限、リバースプロキシの認証などを使い、信頼できる利用者だけが到達できる状態へ変更します。

WAFで脆弱なテンプレート描画ルートへの不審なリクエストを監視・遮断する方法も考えられます。ただし、公開情報に基づく単純な文字列ルールは回避される可能性があり、正規機能を誤って遮断するおそれもあります。

暫定ルールはパッチの代替ではありません。アクセス制限やWAFを導入した場合も、vBulletin 6.2.2以降への更新計画を進める必要があります。

サービスを停止できる場合は、更新と侵害確認が完了するまで公開を一時停止する方が確実です。

侵害の有無を確認

脆弱なバージョンをインターネットへ公開していた組織は、更新とあわせて侵害の有無を確認してください。

Webアクセスログでは、通常とは異なるテンプレート描画リクエスト、ページ番号パラメーターへの不自然に長い入力、演算子や記号が大量に含まれるリクエスト、繰り返されるエラー応答を確認します。

サーバー上では、次の項目を調査します。

• vBulletin配下に追加された不明なPHPファイル
• テンプレートやプラグインの意図しない変更
• Webサーバーの一時ディレクトリに作成された実行ファイル
• cron、systemd、タスクスケジューラーなどへの不審な永続化設定
• vBulletin管理者やデータベースユーザーの不審な追加
• 外部IPアドレスへの異常な通信
• Webサーバープロセスから起動されたシェルやコマンド
• ログの削除や不自然な空白期間

EDRを導入している場合は、Webサーバープロセスからsh、bash、curl、wget、PHP CLIなどが実行されていないかを確認します。

侵害が疑われる場合は、対象サーバーをネットワークから隔離し、ログやメモリ、ファイルシステムを保全したうえで調査してください。

情報システム部門への示唆

情報システム部門は、社内外で運用されているvBulletinのバージョンと公開範囲を確認してください。

フォーラムが広報部門、コミュニティ運営部門、海外子会社、製品サポート部門によって個別に設置され、IT資産台帳から漏れている場合があります。ドメイン、クラウド、レンタルサーバー、コンテナ、外部委託先を含めて棚卸しする必要があります。

vBulletin 6.2.1以前または5.xが確認された場合は、インターネットへの公開状況を確認し、vBulletin 6.2.2以降への更新を最優先で進めてください。

公開PoCが存在するため、通常の月次パッチサイクルまで対応を保留することは推奨できません。緊急変更の手順を適用し、更新できない期間はアクセス制限やサービス停止を検討します。

更新後は、バージョン表示だけでなく、実際に修正ファイルが反映されているかを確認してください。CDNや複数サーバー構成では、一部ノードだけ古いファイルが残る可能性があります。

フォーラムのデータベースには、メールアドレス、パスワードハッシュ、投稿、非公開メッセージ、IPアドレスなどが保存される場合があります。侵害が確認された場合は、認証情報の変更、セッションの失効、影響を受けた利用者への通知、個人情報保護委員会への報告要否を検討してください。

RCE脆弱性への基本的な対応については、Apache Tomcatのリモートコード実行脆弱性に関する記事も参考になります。

出典

• vBulletin Runtime Template runMaths Preauth RCE – SSD Secure Disclosure
• vBulletin <= 6.2.1 runMaths Remote Code Execution Vulnerability – Karma(In)Security
• CVE-2026-61511 – CVE Program
• CVE-2026-61511 Detail – National Vulnerability Database
• Security Patch Released for vBulletin 6.2.1, 6.2.0 and 6.1.6 – vBulletin
• vBulletin 6.2.2 is available – vBulletin

関連記事

Cisco Unified Communications ManagerのSSRF 脆弱性 CVE-2026-20230 がサイバー攻撃で悪用 Spring SecurityとSpring WSがXSS・SSRF・XXE・BSP検証バイパスを含む複数の脆弱性を修正(CVE-2026-41003,CVE-2026-40999)他 ElasticがElastic Stack製品群に計6件の脆弱性を公表-Elasticsearch・Kibana・Elastic Defendが対象、CVSSv3.1最大6.5のDoS・情報漏洩・不正認可を修正（2026年7月1日） Microsoft、ゼロデイ脆弱性を公表した匿名セキュリティ研究者を「訴追しない」と方針転換-6月にもゼロデイ脆弱性公開 示唆 【2026年】サイバー攻撃・情報漏洩の最新 事例 RaaS（Ransomware as a Service）とは-犯罪のサービス化が生んだサイバー攻撃の民主化と、日本組織が実際に受けた被害の全貌 MITRE、2025年版 最も危険なソフトウェア 脆弱性トップ25を公表 サイバー攻撃の事例を解説 WindowsのTCP/IP IPv6を使用する全てのシステムに影響を与える緊急度の高い 脆弱性(CVE-2024-38063)

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)