Иногда самая яркая история недели - не про катастрофу, а про то, как катастрофа не случилась буквально из-за одной буквы. 27 июля исследователи SSD Secure Disclosure опубликовали рабочий, на первый взгляд, эксплойт для критической уязвимости CVE-2026-61511 в vBulletin - неавторизованное удалённое выполнение кода через шаблонный движок в версиях 6.2.1 и более старых.
vBulletin закрыл дыру ещё в конце июня, а патч 6.2.2 вышел 1 июля - почти за четыре недели до публикации кода атаки, автором которого значится "EgiX", известный по цепочке уязвимостей vBulletin ещё 2025 года. Но в опубликованном скрипте нашлась ошибка: там, где должна быть цифра, стоит буква, и в исходном виде эксплойт просто не запускается. Официального CVSS-балла у уязвимости пока нет, записи в CVE.org и NVD тоже нет, подтверждённых атак в реальном мире на момент публикации не зафиксировано.
Это как опубликовать инструкцию по взлому сейфа, где на решающем шаге написано "поверните ручку на 7L градусов" - вроде всё по делу, а конкретно этот шаг без правки не выполнить. Забавно, но обманчиво: любой опытный технарь поправит одну букву за пять минут, и тогда рабочий PoC окажется у всех, кто умеет читать код.
Для обычных пользователей форумов. Если ваш форум на vBulletin, риск не в самой опечатке, а в том, что патч уже месяц как доступен, а обновление многие просто не поставили. Разумно проверить версию движка прямо сейчас, а не после того, как кто-то исправит чужую опечатку за вас.
Для бизнеса и CISO. Ситуация показывает классическую проблему patch management: между релизом патча и публичным PoC прошло почти четыре недели - этого времени обычно достаточно, чтобы закрыть дыру, но далеко не все успевают. Стоит обсудить процесс: сколько времени в среднем занимает применение критических патчей на публично доступных сервисах компании.
Я бы не стал шутить над авторами PoC - опечатки бывают у всех, включая меня в этом самом посте, если приглядеться. Но факт остаётся: рабочий эксплойт появится в исправленном виде очень быстро, и это стоит воспринимать как последний шанс успеть с патчем, а не как повод расслабиться.
Автор: Беляев Дмитрий
〰️〰️〰️
📝Связаться с Дмитрием
〰️〰️〰️
👆👆👆👆👆
✔️Подпишись на канал🔥
🕒 [Ранний доступ к подкастам] 🔥
▶️ [Чат]
🛒 [Все проекты] 🔥
🟡 [Менторство] 🔥
⚡️ [Буст BS]
🤔 [Стикеры]
🔜🔜🔜
💥 Почему нужно попасть на проект [Belyaev_Security]
#кибербезопасность #cybersecurity #vBulletin #RCE #patchmanagement
Источники: The Hacker News