Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Il 27 luglio SSD Secure Disclosure ha pubblicato un exploit per un difetto di esecuzione del codice pre-autenticazione in vBulletin, che permette a una richiesta non autenticata di eseguire codice su server senza patch. Le versioni interessate sono vBulletin 6.2.1 e precedenti e 6.1.6 e precedenti. SSD attribuisce il merito al ricercatore indipendente Egidio Romano, noto come "EgiX".
I dettagli pubblici dell’exploit rilasciati il 27 luglio mostrano come una richiesta non autenticata può raggiungere la funzione eval() di PHP all’interno di vBulletin ed eseguire codice su un server del forum senza patch. L’attacco non richiede account, accesso amministrativo o interazione da parte di un altro utente.
SSD Secure Disclosure elenca vBulletin 6.2.1 e versioni precedenti e 6.1.6 e versioni precedenti come interessate, ma non fornisce un limite di versione inferiore. vBulletin ha rilasciato patch di sicurezza per 6.2.1, 6.2.0 e 6.1.6 alla fine di giugno e ha rilasciato la versione corretta 6.2.2 il 1° luglio, quasi quattro settimane prima che l’exploit diventasse pubblico.
Gli amministratori che eseguono installazioni self-hosted devono applicare la patch per il proprio ramo o eseguire l’aggiornamento alla versione 6.2.2. vBulletin afferma che i suoi siti cloud sono già stati corretti contro questo difetto.
SSD non ha segnalato lo sfruttamento attivo di questa minacci. Al 27 luglio 2026, nessuna fonte aveva confermato attacchi in-the-wild e il CVE-2026-61511 non era elencato nel catalogo delle vulnerabilità sfruttate note di CISA. L’azienda ha pubblicato una prova di concetto interattiva, ma lo script pubblicato contiene un errore di un carattere, una lettera a cui appartiene una cifra, che ne impedisce l’esecuzione.
L’errore è banale da correggere e non influisce sulla vulnerabilità sottostante. Una cosa che i documenti pubblici non stabiliscono è se il difetto sia stato utilizzato nelle circa quattro settimane tra la patch di fine giugno e la divulgazione del 27 luglio; né l’avviso di SSD né gli avvisi di vBulletin affrontano quella finestra.
L’analisi tecnica di SSD lo identifica come CVE-2026-61511, si parla di un difetto di esecuzione di codice remoto non autenticato nel motore di modelli di vBulletin. Al momento della stesura di questo articolo non era disponibile alcun record CVE.org o National Vulnerability Database statunitense, e quindi nessun punteggio ufficiale di gravità. NVD ha smesso di arricchire regolarmente i nuovi CVE con i punteggi CVSS all’inizio di quest’anno dopo l’ondata di vulnerabilità rilevate utilizzando l’intelligenza artificiale.
SSD attribuisce il merito a un ricercatore indipendente anonimo, sebbene l’exploit pubblicato sia firmato “EgiX”, il nickname di Egidio Romano, che ha rivelato la catena di esecuzione del codice del motore di modello 2025 di vBulletin.
Il codice vulnerabile si trova in /includes/vb5/template/runtime.php, all’interno del metodo vB5_Template_Runtime::runMaths(). La funzione rimuove i caratteri al di fuori di un insieme ristretto, quindi passa ciò che rimane direttamente a eval().
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/