vBulletinのパッチ適用済み脆弱性に攻撃コードが公開、未対策の自社運用サーバーに警戒呼びかけ

要点

• 人気フォーラムソフト「vBulletin」に、認証不要で遠隔からコードを実行できる脆弱性が存在することが判明した。

• すでに修正パッチが提供されているが、その約4週間後に具体的な攻撃手法（エクスプロイト）がネット上で一般公開された。

• 公開された攻撃コードには軽微な記述エラーが含まれているものの、修正は容易であり、未対策のサーバーが攻撃を受ける懸念がある。

• 現時点で実際の攻撃被害は報告されていないが、過去にも同様のパターンで修正遅れのサーバーが標的になった例があり、早急なアップデートが推奨される。

• セキュリティ調査機関のSSD Secure Disclosureは2026年7月27日、人気フォーラム作成ソフト「vBulletin（ブイブルティン）」の脆弱性情報と攻撃コード（エクスプロイト：脆弱性を悪用するプログラム）を公開しました。この脆弱性は、ログイン認証を経ずに遠隔から任意のシステムコマンドを実行できる「リモートコード実行」の不具合です。すでに修正パッチは配布されていますが、未適用の自社運用サーバーが標的になる恐れがあります。

• 今回の脆弱性（CVE-2026-61511）は、vBulletinのバージョン6.2.1以下、および6.1.6以下に影響します。開発元は2026年6月下旬にセキュリティパッチ（修正プログラム）を配布し、7月1日には修正済みの最新版「6.2.2」をリリースしました。クラウド版サービス（vBulletin Cloud）は対策済みのため、リスクはパッチ未適用の自社運用（セルフホスト）サーバーに限定されます。

• SSDが公開した実証プログラムには、動作を妨げる記述ミス（タイポ）が意図的に含まれていました。プログラム内で数字を記述すべき場所に誤ってアルファベットが1文字混入していたといいます。このミスがある状態では、サーバーの防御フィルターによって無効なプログラムコードとして処理されるため、そのままでは攻撃は成功しません。しかし、この間違いは非常に単純なものであり、知識があれば容易に修正可能です。メディア「The Hacker News」のローカルテストでは、タイポ修正後に検証用コードの実行が確認されています。

• 現時点で実際のサイバー攻撃（イン・ザ・ワイルド攻撃：実環境のシステムを標的とした攻撃）は確認されておらず、米サイバーセキュリティ・インフラセキュリティ庁（CISA）の悪用脆弱性カタログにも未登録です。パッチ公開から開示までの約4週間に悪用があったかも分かっていません。

• SSDの技術分析によると、この脆弱性はvBulletinが画面のレイアウトを生成する「テンプレートエンジン（ひな形となるテンプレートにデータを流し込んで動的に画面をつくるシステム）」の設計に起因しています。問題のコードは、テンプレート内の数式処理を担当するファイル（/includes/vb5/template/runtime.php）の内部にあるvB5_Template_Runtime::runMaths()というメソッドにあります。このプログラムは、入力された数式から特定の文字以外を除外した上で、PHP言語の実行機能であるeval()（文字列をプログラムのコードとして実行する機能）に直接データを渡していました。

• このフィルターはアルファベットの入力を防ぐものの、数字や括弧、算術演算子などの記号は許可していました。攻撃者は、アルファベットを一切使わずに許可された記号の組み合わせだけでプログラムを構築する手法を用いることで、フィルターをすり抜けて任意のシステムコマンドを実行させることが可能になります。さらに、この処理は管理画面を経由せず、一般の公開ルート（ajax/render/pagenav）から呼び出せます。デフォルトのテンプレートがユーザー入力をこの関数に引き渡すため、ログイン情報を持たない状態でも外部からWebサーバーのOSコマンドを実行可能になります。

• vBulletinでは、過去にも同様の仕組みを突いた脆弱性が報告されています。たとえば2025年5月には、別の経路からテンプレートエンジンを悪用する脆弱性（CVE-2025-48827およびCVE-2025-48828）が発覚しました。この際も、開発元が事前に対策を行っていたものの、攻撃コードが公開された直後から未対策のサーバーを狙った攻撃が相次ぎました。

• 今回も、静かな修正パッチ配布の後に攻撃コードが公開されるという過去と同様のパターンをたどっています。専門家は、未対策のまま公開されているサーバーの管理者に速やかなアップデートを推奨しています。