Ausgangspunkt der Schwachstelle ist laut Egidio Romano die Funktion „runMaths()“. Sie bereinigt Benutzereingaben nicht ausreichend, bevor diese an die PHP-Funktion eval() übergeben werden. Eigentlich sollte dieser Pfad auf mathematische Ausdrücke beschränkt sein. Nach Romanos Analyse lässt sich die Prüfung jedoch umgehen.
Ausnutzbar ist das Problem demnach ohne Anmeldung über den Endpunkt „ajax/render/[template]“. Eine speziell präparierte Anfrage kann von einer verwundbaren Vorlage wie „pagenav“ verarbeitet werden und führt schließlich dazu, dass vom Angreifer kontrollierte Eingaben an eval() gelangen. Das Ergebnis ist Remotecodeausführung auf dem Server.
SSD Secure Disclosure hat zu CVE-2026-61511 ebenfalls eine technische Analyse veröffentlicht. Darin erklären die Forscher, dass sich die vorgesehenen Beschränkungen bei der Eingabebereinigung mit der sogenannten „phpfuck“-Technik umgehen lassen. Zusätzlich wurde ein Proof of Concept veröffentlicht, der die Route „ajax/render/pagenav“ angreift und auf verwundbaren Systemen beliebige Systembefehle ausführt.
Betroffen sind laut Quelltext vBulletin-Versionen aus den Reihen 5.x und 6.x bis einschließlich 5.7.5 und 6.2.1. vBulletin ist eine proprietäre, PHP-basierte Forenplattform, die seit 2000 verfügbar ist und unter anderem von großen Online-Communitys, Gaming-Seiten, Support-Portalen, Automobilforen, Technikforen und Diskussionsplattformen eingesetzt wird. Trotz gesunkener Popularität gegenüber neueren Plattformen verfügt die Software dem Quelltext zufolge weiterhin über einen nennenswerten Marktanteil.
Der Quelltext weist darauf hin, dass ein öffentlich verfügbarer Proof of Concept die Hürde für Angreifer senkt und typischerweise zu mehr Scans und Ausnutzungsversuchen gegen ungepatchte, aus dem Internet erreichbare vBulletin-Server führt. Als Beispiel nennt er einen Vorfall aus dem Mai 2025: Damals setzten Bedrohungsakteure öffentliche Proofs of Concept für zwei weitere kritische vBulletin-Schwachstellen ein, die ebenfalls von Romano entdeckt worden waren, um ungepatchte Instanzen anzugreifen.
Gemeldet wurde CVE-2026-61511 laut Quelltext am 25. Juni 2026 an vBulletin. Version 6.2.2, die die Lücke schließt, erschien am 1. Juli. Sicherheitsupdates wurden außerdem auf frühere Ausgaben der 6.x-Reihe zurückportiert und als „Patch Level 1“ für v6.2.1, v6.2.0 und v.6.1.6 gekennzeichnet.
Wayne Luke, Leiter des technischen Supports von vBulletin, erklärte in den Projektforen, Nutzer älterer Versionen sollten auf eine neuere Ausgabe aktualisieren. Daraus lässt sich dem Quelltext zufolge ableiten, dass es für die 5.x-Reihe keine Updates zur Behebung von CVE-2026-61511 geben wird.