2015年11月2日，外媒報道了一起黑客通過0day漏洞攻擊vBulletin官網致480,000名用戶密碼以及其他敏感信息泄露事件，同時該名黑客利用同樣的漏洞攻擊了vBulletin套件制作的Foxit軟件公司論壇。11月3日，vBulletin官方發(fā)布了一個高危安全漏洞補丁vBulletin 5（5.1.4~5.1.9），并對其所有用戶強制進行了密碼重置。

顯然，此次vBulletin漏洞已經被利用并且對成千上萬使用該程序套件的論壇網站造成了威脅，經知道創(chuàng)宇404安全實驗室分析確認該漏洞可直接導致任意代碼執(zhí)行危害巨大，據網絡消息稱此漏洞已經存在三年之久，黑客可以通過遠程執(zhí)行代碼來控制vBulletin的用戶論壇網站，利用這個0day，黑客幾乎可以完全控制使用vBulletin軟件的論壇。

目前相關漏洞已被快速收錄到知道創(chuàng)宇旗下Sebug漏洞社區(qū)（sebug.net）中，包含漏洞詳情、漏洞PoC等（http://www.sebug.net/vuldb/ssvid-89707），同時知道創(chuàng)宇404安全實驗室第一時間發(fā)表了《unserialize() 實戰(zhàn)之 vBulletin 5.x.x 遠程代碼執(zhí)行》技術博文，對漏洞原理及利用辦法做出了詳細解釋，原文鏈接如下：http://blog.knownsec.com/2015/11/unserialize-exploit-with-vbulletin-5-x-x-remote-code-execution/

根據知道創(chuàng)宇安全團隊檢測，目前全球使用vBulltin套件的網站有 36005個，涉及服務器20407臺。全球使用vBulltin套件網站的國家排名前三位的分別是：美國18013個，德國4110個，俄羅斯2281個；中國境內使用vBulltin套件的網站有117個，全球排名第21位。

知道創(chuàng)宇呼吁相關網站管理員應立即停止當前所有操作并且安裝補?。ㄔL問 http://www.vbulletin.com/升級至官方最新版本），受知道創(chuàng)宇旗下云防護產品創(chuàng)宇盾、加速樂保護的vBulletin站點無需升級即可防御該漏洞。對于可能泄漏賬戶密碼的用戶來說，應當立即修改當前密碼，并且為防止撞庫，用戶應當修改其他網站中使用的相同密鑰。