SSD Secure Disclosure beschreibt CVE-2026-61511 als nicht authentisierte Schwachstelle zur Remotecodeausführung in der Template-Engine von vBulletin. Zum Zeitpunkt der Veröffentlichung gab es weder einen Eintrag bei CVE.org oder in der National Vulnerability Database noch einen offiziellen Schweregrad. Der Quelltext weist außerdem darauf hin, dass die NVD neue CVEs seit diesem Jahr nicht mehr routinemäßig mit CVSS-Bewertungen anreichert.
Nach Angaben von SSD gibt es keine bestätigte aktive Ausnutzung. Bis zum 27. Juli 2026 hatte keine Quelle Angriffe in freier Wildbahn bestätigt, und CVE-2026-61511 tauchte auch nicht im Katalog der bekannten ausgenutzten Schwachstellen von CISA auf. Offen bleibt allerdings, ob die Lücke in den rund vier Wochen zwischen den Patches von Ende Juni und der Offenlegung am 27. Juli missbraucht wurde; weder der Hinweis von SSD noch die Mitteilungen von vBulletin gehen auf dieses Zeitfenster ein.
Der verwundbare Code liegt laut technischer Analyse in /includes/vb5/template/runtime.php in der Methode vB5_Template_Runtime::runMaths(), die Inline-Mathematik in Templates verarbeitet. Die Funktion entfernt Zeichen außerhalb einer eingeschränkten Menge und übergibt den verbleibenden Ausdruck direkt an eval(). Der Filter blockiert zwar Buchstaben, erlaubt aber Ziffern, Klammern, Verkettung, arithmetische Operatoren und binäre Operatoren wie XOR. Das reicht laut SSD aus, um PHP-Zeichenketten und aufrufbare Funktionsnamen ohne Buchstaben zu rekonstruieren; die Veröffentlichung bezeichnet diese Technik als „phpfuck“.
Erreichbar ist der Codepfad ohne Admin-Oberfläche. vBulletin rendert Templates über die öffentliche Route ajax/render/pagenav, und das Standard-Template pagenav übernimmt einen vom Besucher gelieferten Wert aus pagenav[pagenumber] in ein {vb:math}-Tag, das ihn an runMaths() weiterreicht. Genau diese Kette macht aus dem Fehler in der Template-Verarbeitung eine Remotecodeausführung vor der Authentisierung. Der von SSD veröffentlichte PoC rekonstruiert damit die PHP-Funktion system und führt einen Betriebssystembefehl aus, dessen Ausgabe in der HTTP-Antwort zurückgegeben wird.
Die veröffentlichte PoC-Fassung enthält allerdings einen Tippfehler von einem Zeichen: An einer Stelle steht ein Buchstabe statt einer Ziffer, wodurch das Skript unverändert nicht läuft. Laut Quelltext ist der Fehler trivial zu beheben und ändert nichts an der zugrunde liegenden Schwachstelle. The Hacker News hat die offengelegte Filter- und Auswertelogik lokal nachgestellt, um den Fehler zu prüfen. Mit korrigiertem Tippfehler lief ein harmloser Test mit strlen(); ohne Korrektur entfernte die Positivliste den falschen Buchstaben und hinterließ ungültigen PHP-Code. Bestätigt wurde damit der Fehler beim Aufbau des Ausdrucks, nicht ein vollständiger Angriff auf einen produktiven vBulletin-Server.
SSD nennt einen ungenannten unabhängigen Forscher als Entdecker, während der veröffentlichte Exploit mit „EgiX“ signiert ist, dem Pseudonym von Egidio Romano. Romano hatte bereits 2025 eine Kette zur Codeausführung über die Template-Engine von vBulletin offengelegt. Damals betraf es CVE-2025-48827 und CVE-2025-48828, die über einen anderen Pfad denselben Bereich der Software missbrauchten. Laut Quelltext traten bei dieser früheren Kette schon wenige Tage nach der Offenlegung Ausnutzungsversuche auf, nachdem der Hersteller die Lücke Monate zuvor still behoben hatte und viele Foren das Update nie eingespielt hatten.
Für Administratoren selbst gehosteter Installationen empfiehlt sich laut Hersteller, den Patch für den jeweiligen Versionszweig einzuspielen oder auf 6.2.2 zu aktualisieren. Als mögliches Suchmuster nennt der Quelltext POST-Anfragen mit routestring=ajax/render/pagenav und ungewöhnlich langen oder operatorlastigen Werten in pagenav[pagenumber]; dieser Hinweis leitet sich allerdings aus dem öffentlichen PoC ab und nicht aus einer Erkennungsempfehlung des Herstellers.