vBulletin Tambal Celah Kritis RCE yang Sudah Memiliki Exploit Publik

Platform forum vBulletin merilis pembaruan keamanan untuk menutup kerentanan kritis yang memungkinkan penyerang menjalankan kode PHP dari jarak jauh tanpa perlu melakukan autentikasi. Celah ini dinilai sangat berbahaya karena proof-of-concept (PoC) untuk eksploitasinya telah dipublikasikan ke publik.

Kerentanan tersebut dilacak sebagai CVE-2026-61511 dan memengaruhi berbagai versi vBulletin pada cabang 5.x dan 6.x.

Penyerang Tidak Perlu Login

Menurut hasil penelitian, celah ini memungkinkan penyerang mengirimkan permintaan khusus ke server vBulletin dan langsung mengeksekusi kode berbahaya tanpa harus memiliki akun maupun hak akses.

Kondisi tersebut membuat server yang dapat diakses melalui internet menjadi sasaran yang sangat menarik bagi pelaku ancaman.

vBulletin sendiri merupakan perangkat lunak forum berbasis PHP yang telah digunakan sejak tahun 2000 oleh berbagai komunitas daring, forum teknologi, portal dukungan pelanggan, forum otomotif, hingga situs permainan.

Berasal dari Fungsi Pemrosesan Template

Kerentanan ditemukan oleh peneliti keamanan independen Egidio Romano melalui program SSD Secure Disclosure.

Menurut hasil analisis, masalah berasal dari fungsi runMaths(), yang tidak memvalidasi input pengguna dengan benar sebelum meneruskannya ke fungsi eval() milik PHP.

Padahal fungsi tersebut seharusnya hanya digunakan untuk memproses ekspresi matematika.

Akibat kelemahan tersebut, penyerang dapat menyisipkan kode PHP yang kemudian dijalankan langsung oleh server.

Eksploitasi Melalui Endpoint Template

Penyerang dapat mengeksploitasi kerentanan dengan mengirimkan permintaan khusus ke endpoint:

ajax/render/[template]

Permintaan tersebut diproses menggunakan template yang rentan, seperti pagenav, hingga akhirnya data yang dikendalikan penyerang diteruskan ke fungsi eval().

Para peneliti juga menjelaskan bahwa pembatasan sanitasi input masih dapat dilewati menggunakan teknik yang dikenal sebagai phpfuck, sehingga perlindungan bawaan tidak mampu menghentikan eksploitasi.

PoC Sudah Dipublikasikan

Selain mempublikasikan analisis teknis, peneliti juga merilis kode proof-of-concept yang mampu menjalankan perintah sistem secara langsung pada server yang masih rentan.

Ketersediaan exploit publik biasanya akan meningkatkan aktivitas pemindaian otomatis dan percobaan eksploitasi terhadap server yang belum diperbarui.

Situasi serupa pernah terjadi pada 2025 ketika dua kerentanan kritis vBulletin lainnya dimanfaatkan secara luas oleh pelaku ancaman tidak lama setelah exploit dipublikasikan.

Versi yang Terdampak

Kerentanan ini memengaruhi:

• vBulletin 5.x hingga versi 5.7.5
• vBulletin 6.x hingga versi 6.2.1

Pembaruan Sudah Tersedia

vBulletin menerima laporan mengenai kerentanan ini pada 25 Juni 2026 dan merilis perbaikan melalui vBulletin 6.2.2 pada 1 Juli 2026.

Selain itu, perusahaan juga menyediakan patch untuk beberapa versi 6.x sebelumnya melalui paket Patch Level 1, termasuk:

• v6.2.1
• v6.2.0
• v6.1.6

Sementara itu, pengguna cabang 5.x disarankan untuk melakukan upgrade ke versi yang lebih baru karena tidak ada indikasi bahwa pembaruan keamanan akan dirilis untuk lini tersebut.

Segera Lakukan Pembaruan

Administrator yang masih menjalankan vBulletin versi terdampak disarankan segera memasang patch atau melakukan upgrade ke versi terbaru.

Karena exploit telah tersedia untuk umum dan tidak memerlukan autentikasi, server forum yang belum diperbarui berisiko tinggi menjadi sasaran serangan otomatis maupun kompromi sistem.

Melakukan pembaruan secepat mungkin merupakan langkah paling efektif untuk mencegah eksploitasi terhadap kerentanan kritis ini.