掲示板ソフトvBulletinに緊急の脆弱性 CVE-2026-61511、ログイン不要で乗っ取り

世界中の掲示板・コミュニティサイトで使われている掲示板ソフトvBulletin（ブイブレティン）に、ログイン不要で誰でもサーバーを乗っ取れる極めて危険な脆弱性（ソフトの弱点）が見つかりました。番号はCVE-2026-61511、深刻度は10点満点中9.8（最高レベルの「緊急」）です。すでに実際の攻撃に使われていることが確認されています。

対象は5系（5.7.5まで）と6系（6.2.1まで）です。開発元は修正版6.2.2を公開しており、対策はこのバージョンへの更新です。掲示板は誰でもアクセスできる場所に置かれていることが多く、攻撃の入り口が常に開いている状態になります。いま自分のサイトがこのバージョンより古ければ、今すぐの更新を強くおすすめします。

脆弱性の概要

まず全体像を整理します。深刻度の数値は、脆弱性の危険度を10点満点で表す国際的な指標CVSSです。

「任意のプログラムを実行（リモートコード実行）」とは、攻撃者が自分の書いたプログラムをそのサーバー上で動かせてしまう状態を指します。しかもログイン不要で成立するため、脆弱なサイトは公開されている限り誰からでも狙われます。この2つが重なると被害は最悪級になります。

vBulletinとは何か

vBulletinは、掲示板やコミュニティサイトを作るための有料の掲示板ソフトです。PHPというプログラミング言語で書かれており、大規模なファンサイト、ゲームコミュニティ、企業のサポートフォーラムなど、世界中の会員制サイトで長年使われてきました。

同種の掲示板ソフトの中では老舗で導入実績が多く、vBulletin公式サイトによれば投稿・会員管理・権限設定などを一通りそろえた作りになっています。多機能なぶん内部の仕組みも複雑で、過去にも同じ「テンプレート機能を悪用した乗っ取り」が繰り返し報告されてきた製品です。今回もその系譜に連なる脆弱性です。

誰が、何を狙う脆弱性なのか

数値だけでは自分ごとになりにくいので、狙う相手とその狙いをかみ砕きます。

今回の穴を狙うのは、インターネット越しに掲示板サイトを片っ端から探す攻撃者です。ログインもアカウントも要らないため、標的を選ばず、自動化した仕組みで脆弱なvBulletinサイトを機械的に見つけては攻撃を仕掛けてきます。実際、すでに攻撃が観測されています。

その相手は、掲示板の一部の受け取り口に細工した文字列を送り込み、サーバー上で自分の用意したプログラムを実行させて、サイトを丸ごと乗っ取ります。乗っ取ったあとは、こっそり管理者アカウントを作る、裏口となる不正ファイル（Webシェル）を仕込む、会員の個人情報を抜き取る、サイトを改ざんして別の攻撃の踏み台にする、といった行動につながります。

被害の出方は立場で変わります。サイトを訪れる会員から見れば、登録したメールアドレスやパスワードが盗まれ、別のサービスへの不正ログインに使い回される恐れがあります。サイトを運営する側から見れば、サーバーの支配権そのものを奪われ、復旧や信頼回復に多大なコストがかかります。だからこそ、この後の対策セクションで示す6.2.2への更新が最優先になります。

脆弱性の詳しい仕組み

CVE-2026-61511：数式処理の受け取り口からプログラムを流し込まれる

この脆弱性は、vBulletinのテンプレート機能（画面の見た目を組み立てる仕組み）にある数式を計算する処理に潜んでいます。技術的には、ページ送りに関するpagenav[pagenumber]という項目に細工した値を送ると、ログイン不要でアクセスできる内部の通信口（AJAXルート）を通じて、その値がプログラムとして実行されてしまいます。分類は「eval（評価）インジェクション」（CWE-95）と呼ばれる、送り込んだ文字列がそのままプログラムとして動いてしまう種類の欠陥です。

やっかいなのは、危険な文字を弾くための入力チェック（正規表現によるフィルター）が甘く、英数字を使わずに書いた特殊な形式のPHPコードですり抜けられる点です。フィルターで安全にしたつもりでも、想定外の書き方で回避されてしまう典型的なパターンで、結果として認証前の任意コード実行が成立します。NVDの評価では、CVSS 3.1で9.8、CVSS 4.0で9.3と、いずれも最上位クラスの危険度です。

自分のサイトが対象か確認する

管理画面や設置ファイルで、使っているvBulletinのバージョンを確認してください。下の早見表で対象かどうかを判断できます。

いま何をすればよいか

根本的な対策は、vBulletinを6.2.2へ更新することです。実際の攻撃がすでに起きているため、メンテナンス告知を出してでも早く適用する価値があります。vBulletin公式の案内に従い、バックアップを取ってから更新してください。

すぐに更新できない場合の当座の緩和策としては、掲示板の前にある防御装置（WAF＝不正な通信を検知して遮断する仕組み）でpagenav[pagenumber]を含む不審なリクエストを止める、管理画面や不要なAJAXの受け取り口を外部から見えない場所に隔離する、といった手が挙げられます。ただしこれらは時間稼ぎに過ぎず、根本解決は更新です。

加えて、すでに乗っ取られていないかの点検も忘れないでください。任意コード実行が成立する脆弱性では、更新前にすでに侵入されている可能性があります。身に覚えのない管理者アカウントが増えていないか、設置フォルダに見慣れないPHPファイル（裏口となるWebシェル）が置かれていないか、サーバーのアクセス記録に不審な通信が残っていないかを確認します。心当たりがあれば、更新だけで安心せず、専門家による調査を検討してください。乗っ取られたサイトが他サイト攻撃の踏み台になる構図は、Joomlaのページ作成ツールで起きたサイト乗っ取りでも同じでした。

なお、この脆弱性は実際に攻撃されているため、米政府の担当機関CISAが公開する「実際に攻撃されている脆弱性リスト（KEV）」に登録される可能性があります。CISA KEVの最新状況もあわせて確認しておくと、対応の優先度を判断しやすくなります。

技術的に見ると：なぜ掲示板ソフトで乗っ取りが繰り返されるのか

vBulletinのような多機能な掲示板ソフトは、画面の見た目を柔軟に組み立てるために、内部に「文字列をプログラムとして解釈して動かす」仕組みを持っています。便利な反面、この仕組みは外から届いた文字列がそのまま実行されるという危険と隣り合わせです。今回の数式処理も、その一例でした。

危険な入力を弾くフィルターを置いても、英数字を使わない特殊な書き方など、想定外の抜け道が次々と見つかります。「危ないものを列挙して禁止する」方式は、禁止リストに載っていない書き方をされると破られるためです。vBulletinで同種のテンプレート経由の乗っ取りが過去にも繰り返されてきたのは、この構造的な難しさの表れです。根本的には、外部入力を実行対象にしない設計へ寄せていく必要があります。

まとめ

vBulletinのCVE-2026-61511は、ログイン不要でサーバーを乗っ取れる深刻度9.8の脆弱性で、すでに実際の攻撃が起きています。対象は5.7.5まで、および6.2.1までのバージョンで、対策は6.2.2への更新です。掲示板は常に外部へ開かれているため、更新の遅れがそのまま被害に直結します。

まずは自分のサイトのバージョンを確認し、対象なら即座に6.2.2へ更新してください。そのうえで、すでに侵入されていないかの点検まで行うのが安全です。新たな悪用の広がりやKEVへの登録があれば、本記事に追記します。

参照元

• ▸ NVD - CVE-2026-61511（vBulletin eval injection、CVSS 9.8 / 9.3）
• ▸ vBulletin 公式サイト
• ▸ CISA KEV ダッシュボード（日本語版・当サイト）