Kritische Sicherheitslücke in vBulletin: Unautorisierte Code-Ausführung möglich (CVE-2026-61511)

Was ist passiert?

Eine kritische Sicherheitslücke (CVE-2026-61511) wurde in vBulletin-Versionen 5.x bis 5.7.5 und 6.x bis 6.2.1 entdeckt. Diese sogenannte 'Eval Injection'-Schwachstelle ermöglicht es Angreifern, über manipulierte Eingaben im Parameter 'pagenav[pagenumber]' beliebigen PHP-Code auf dem Server auszuführen. Dies geschieht ohne vorherige Authentifizierung über die 'ajax/render'-Route, indem spezielle Zeichenkodierungen genutzt werden.

Wer ist betroffen?

Betroffen sind alle Installationen von vBulletin der Versionen 5.x bis einschliesslich 5.7.5 sowie 6.x bis einschliesslich 6.2.1. Unternehmen, die diese Forensoftware einsetzen, sind einem hohen Risiko ausgesetzt. Es ist entscheidend, die genutzte vBulletin-Version umgehend zu überprüfen.

Wie kritisch ist es?

Die Schwachstelle wird mit einem CVSS-Score von 9.8 als 'kritisch' eingestuft, was auf ein sehr hohes Risiko hinweist. Der EPSS-Wert liegt bei 1 %, was die Wahrscheinlichkeit einer aktiven Ausnutzung in den nächsten 30 Tagen einschätzt. Obwohl die Schwachstelle derzeit nicht im CISA KEV-Katalog der aktiv ausgenutzten Schwachstellen gelistet ist, sollte die hohe Kritikalität nicht unterschätzt werden.

Was ist jetzt zu tun?

Überprüfen Sie umgehend die Version Ihrer vBulletin-Installation. Dazu liegen derzeit keine gesicherten Angaben vor, welche spezifischen Patches oder Updates die Schwachstelle beheben. Wir empfehlen, die offiziellen Kanäle des Herstellers für aktuelle Informationen und Patches zu beobachten und diese schnellstmöglich einzuspielen.

Quellen: NVD (CVE-2026-61511), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.