人気のあるフォーラムソフトウェアで、認証を必要としない攻撃者が特別に作成したリクエストを送信することで任意のPHPコードを実行できる重大なセキュリティ脆弱性（CVE-2026-61511）が発見された。この脆弱性は、テンプレート処理プロセスで「runMaths()」関数がユーザー入力を十分にサニタイズせずにPHPのeval()関数に渡すことが原因である。

研究者たちは、攻撃者が「ajax/render/[テンプレート]」エンドポイントに送信した特別に作成したリクエストで、例えば「pagenav」テンプレートを通じてこの機能をトリガーできることを示した。脆弱性の悪用を容易にする「phpfuck」テクニックを使用して、公開された概念実証（PoC）エクスプロイトが公開され、インターネットに公開されたサーバーがスキャンされ、悪用されるリスクが高まっている。

ソフトウェア開発者は、6.2.2バージョンを7月1日にリリースし、脆弱性を修正し、以前のバージョンに「Patch Level 1」の更新を提供した。しかし、5.xシリーズに対する更新は計画されていないため、このバージョンのユーザーは依然として脆弱なままである。システム管理者はできるだけ早くアップグレードすることが推奨される。