vBulletin corrige un fallo crítico que permite el control total del servidor sin autenticación
El equipo de desarrollo de vBulletin, uno de los softwares de gestión de foros más longevos y utilizados en la web, ha publicado parches de urgencia para abordar una vulnerabilidad crítica de ejecución remota de código (RCE). El fallo, identificado como CVE-2026-61511, es especialmente peligroso ya que permite a atacantes no autenticados ejecutar código PHP arbitrario en el servidor de forma remota.
Análisis Técnico: El riesgo de la función ‘runMaths’
La vulnerabilidad fue descubierta por el investigador independiente Egidio Romano. El problema reside en la función runMaths(), la cual no sanitiza adecuadamente la entrada de datos del usuario antes de pasarla a la función eval() de PHP. En términos técnicos, eval() es una herramienta potente pero arriesgada que interpreta una cadena de texto como código PHP activo.
Aunque la función estaba destinada únicamente a procesar expresiones matemáticas, los atacantes pueden utilizar una técnica conocida como «phpfuck» para evadir las restricciones de seguridad y forzar la ejecución de comandos del sistema. La explotación se realiza enviando una solicitud maliciosa al endpoint ajax/render/[template], afectando plantillas específicas como ‘pagenav’.
Impacto y Versiones Afectadas
Este incidente afecta a una amplia base de usuarios, incluyendo comunidades de gaming, portales de soporte técnico y foros corporativos. Las versiones vulnerables incluyen:
- Ramas 5.x (hasta la versión 5.7.5).
- Ramas 6.x (hasta la versión 6.2.1).
Es importante destacar que ya existe un Exploit de Prueba de Concepto (PoC) disponible públicamente. Esto reduce drásticamente la barrera de entrada para los ciberdelincuentes, facilitando ataques automatizados contra servidores que aún no han sido actualizados.
Recomendaciones de Seguridad
Desde el departamento de ciberseguridad de Intedya, instamos a todas las organizaciones que utilicen vBulletin a tomar medidas inmediatas:
- Actualización Inmediata: Los usuarios de la rama 6.x deben actualizar a la versión 6.2.2 o aplicar los parches específicos (Patch Level 1) para las versiones 6.2.1, 6.2.0 y 6.1.6.
- Migración para usuarios de 5.x: vBulletin ha indicado que no habrá parches para la rama 5.x. Por lo tanto, la única solución segura es migrar a la versión 6.2.2 lo antes posible.
- Monitoreo de Logs: Revisar los registros de acceso en busca de solicitudes sospechosas dirigidas a las rutas de
ajax/render/.
La ciberseguridad proactiva y la gestión eficiente de vulnerabilidades son pilares fundamentales para la continuidad de negocio. Mantener el software actualizado no es solo una tarea técnica, sino una medida crítica de cumplimiento y protección de activos digitales.
Fuentes
- Bleeping Computer — vBulletin fixes critical pre-auth RCE flaw with public exploit
https://www.bleepingcomputer.com/news/security/vbulletin-fixes-critical-pre-auth-rce-flaw-with-public-exploit/