بسم الله الرحمن الرحيم

اكتشاف ثغرتين حرجتين في برنامج المنتديات مفتوح المصدر vBulletin، مع تأكيد استغلال إحداهما بالفعل

تم اكتشاف ثغرتين حرجتين تؤثران على برنامج المنتديات مفتوح المصدر vBulletin، وقد تم التأكيد على أن إحدى هاتين الثغرتين يتم استغلالها حاليًا في الهجمات الحقيقية.

تحمل الثغرتان المعرفتين تحت الرمزين CVE-2025-48827 وCVE-2025-48828 تقييمًا "حرجًا" وفقًا لمعيار CVSS v3 (بدرجتي 10.0 و9.0 على التوالي)، وتشمل الأولى استدعاء غير آمن لطريقة API، بينما تتعلق الثانية بتنفيذ تعليمات برمجية عن بُعد (RCE) عن طريق إساءة استخدام محرك القوالب.

تؤثر هذه الثغرات على إصدارات vBulletin من 5.0.0 وحتى 5.7.5، ومن 6.0.0 وحتى 6.0.3، عند تشغيل المنصة على PHP إصدار 8.1 أو أحدث.

من المرجح أن الثغرات تم تصحيحها بشكل غير معلن العام الماضي من خلال إصدار Patch Level 1 لجميع إصدارات فرع 6.*، وPatch Level 3 للإصدار 5.7.5، ولكن العديد من المواقع لا تزال معرضة للخطر لعدم قيامها بالترقية.

إثبات علني للمفهوم واستغلال نشط

تم اكتشاف الثغرتين في 23 مايو 2025 من قبل الباحث الأمني إيجيديو رومانو (EgiX)، الذي شرح طريقة استغلالها في تدوينة فنية مفصلة على مدونته.

أوضح الباحث أن الخطأ يكمن في إساءة استخدام vBulletin لواجهة Reflection API في PHP، والتي، بسبب التغييرات التي طرأت في PHP 8.1، تتيح استدعاء الطرق المحمية دون تعديل مستوى الوصول.

سلسلة الاستغلال تعتمد على إمكانية استدعاء الطرق المحمية من خلال عناوين URL مصممة، إلى جانب إساءة استخدام الشروط الشرطية داخل محرك قوالب vBulletin.

عبر حقن كود قالب تم التلاعب به باستخدام الدالة الضعيفة replaceAdTemplate، يستطيع المهاجمون تجاوز مرشحات "الدوال غير الآمنة" باستخدام حيل مثل استدعاء الدوال عن طريق متغيرات PHP.

هذا يؤدي إلى تنفيذ تعليمات برمجية عن بُعد دون مصادقة على الخادم المستهدف، ما يمنح المهاجمين وصولًا كأنهم مستخدم الخادم (مثل www-data في أنظمة Linux).

في 26 مايو، أفاد الباحث الأمني ريان ديوهورست بمشاهدته محاولات استغلال فعلية ضمن سجلات أنظمة Honeypot، تظهر فيها طلبات إلى نقطة النهاية الضعيفة 'ajax/api/ad/replaceAdTemplate'.

تتضمن هذه السجلات محاولات لنشر أبواب خلفية مكتوبة بـ PHP بهدف تنفيذ أوامر نظامية، وقد تتبع ديوهورست أحد المهاجمين إلى بولندا، مرجّحًا أنهم يستخدمون الكود المنشور سابقًا من قبل رومانو، مع توفر قوالب كشف Nuclei للثغرة منذ 24 مايو 2025.

تجدر الإشارة إلى أن ديوهورست لاحظ فقط محاولات استغلال لثغرة CVE-2025-48827، ولا توجد أدلة على استغلال كامل يؤدي إلى تنفيذ تعليمات برمجية عن بُعد، رغم أن هذا مرجّح جدًا.

مشكلات مستمرة في vBulletin
يُعد vBulletin من أكثر منصات المنتديات استخدامًا عالميًا، ويعتمد على PHP وMySQL لتشغيل آلاف المجتمعات الإلكترونية.

تصميمه القابل للتوسعة، والذي يشمل واجهات برمجية للهواتف المحمولة وواجهات AJAX، يجعله مرنًا لكنه في الوقت نفسه يُوسّع من سطح الهجوم.

وفي الماضي، استغل المهاجمون ثغرات خطيرة في المنصة لاختراق منتديات شهيرة وسرقة بيانات حساسة لعدد كبير من المستخدمين.

يوصى مشرفو المنتديات بتطبيق التحديثات الأمنية لمنصات vBulletin الخاصة بهم، أو التحديث إلى الإصدار الأحدث 6.1.1، الذي لا يتأثر بهذه الثغرات.