vBulletin预认证RCE漏洞CVE-2026-61511被公开PoC，修复后仍存风险

近日，一款流行论坛软件vBulletin的安全漏洞再次引发业界关注编号为CVE-2026-61511的预认证远程代码执行（RCE）漏洞已被公开PoC利用，这意味着攻击者无需登录即可触发漏洞并执行任意PHP代码。

该漏洞最早于7月25日由OpenAI服务故障事件中被提及，当时有安全研究人员发现攻击者可能利用类似漏洞绕过身份验证机制。随后，vBulletin官方在7月26日确认了该漏洞的存在，并发布了紧急修复补丁（版本3.8.9及以上）。然而，仅仅一天后，漏洞的利用代码（PoC）就在网络上流传开来。

漏洞的核心在于vBulletin未对某些未经身份验证的API接口进行充分的输入验证。攻击者可以通过构造特定的HTTP请求，将恶意PHP代码注入到目标服务器的文件系统中，进而控制整个网站甚至服务器。这种类型的漏洞在Web应用中较为常见，但由于vBulletin广泛应用于企业级论坛和社区平台，其潜在危害尤为严重。

安全专家指出，虽然vBulletin已经发布了修复补丁，但公开的PoC意味着攻击门槛大大降低，普通攻击者也能轻易复现漏洞。"这就像给黑客提供了一份‘使用说明书’，"一位不愿具名的安全研究员表示，"即使没有技术背景的人，只要按照教程操作，也能成功入侵。"

目前，受影响的用户主要包括使用vBulletin搭建在线社区、客户支持系统或内部协作平台的企业。如果这些平台存在敏感数据或支付功能，攻击者可能进一步窃取用户信息、植入恶意软件或发起勒索攻击。

针对这一情况，网络安全公司建议采取以下措施：

此外，安全专家还提醒开发者，在编写Web应用时应遵循最小权限原则，避免直接暴露敏感接口，同时加强对用户输入的过滤和验证。

值得注意的是，此次漏洞事件与近期多起重大安全事件相互呼应。例如，7月25日ChatGPT曾因大规模故障导致服务中断，而7月27日Anthropic的Claude Cowork智能体也曝出沙箱逃逸漏洞。这些事件共同揭示了当前网络安全领域面临的严峻挑战，尤其是在AI和Web应用快速发展的背景下，安全防护体系亟需加强。

"我们正处于一个技术飞速发展但安全滞后的时间点，"一位资深网络安全从业者表示，"每一次新技术的应用都伴随着新的安全风险，企业和开发者必须时刻保持警惕。"