掲示板ツール「vBulletin」に深刻な脆弱性 - 実証コードや悪用も

フォーラム構築ソフト「vBulletin」に複数の「クリティカル」とされる脆弱性が明らかとなった。実証コードが公開されており、悪用も確認されているという。

「CVE-2025-48827」は、本来は外部からアクセスが制限されるべきAPIにおいて認証を必要とすることなく実行できる脆弱性。PHP 8.1以降の環境に影響があり、本来制限されるべき処理が実行できる。

また「CVE-2025-48828」は、テンプレートエンジンにおける条件式の処理に確認された脆弱性。特定の構文を用いることで、テンプレート内からセキュリティチェックを回避して任意のコードを実行できる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「CVE-2025-48827」が最高値である「10.0」、「CVE-2025-48828」が「9.0」と評価されている。重要度はいずれも4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

またこれら脆弱性を組み合わせることで、認証なしにリモートより任意のコードを実行することが可能となる。いずれも5月下旬に実証コードが公開されており、すでに脆弱性を悪用しようとする攻撃も観測されている。

（Security NEXT - 2025/06/09 ）ツイート