自己責任で使用してください。

このツールは、認可されたセキュリティ調査、ペネトレーションテスト、および教育目的のみに提供されています。所有しているシステム、または明示的な書面による許可を得たシステムに対してのみ実行してください。

作者は、このツールの違法または非倫理的な使用、またはそのような使用によって生じるいかなる結果についても責任を負いません。このツールの運用に関するすべての法的および倫理的責任は、それを実行する人物にのみ帰属します。作者は、このソフトウェアの不正使用に関与せず、承認もせず、容認もしません。

phpBBはCVE-2026-48611を技術的なバグ解説とともに公開しましたが、Pentest-Tools.com自身のアドバイザリに記載されたペイロード詳細以外に、公開されている動作する自動化エクスプロイトはどこにもありませんでした。他はすべて手動による一回限りのテストでした。このツールはそのギャップを埋めます。脆弱なphpBBインストールを検出し、ログインパネルを特定し、エンドツーエンドで実際のバイパスを実行する単一のスクリプトです。

クレジット

この脆弱性は、Pentest-Tools.com のセキュリティ研究チームの Dan Stefan Alexandru によって発見され、責任を持って開示され、2026年6月4日 にphpBBへ報告されました。このリポジトリは、公開アドバイザリから構築された独立した自動化PoCであり、Pentest-Tools.comやphpBBとは提携していません。

脆弱性の仕組み（簡単に説明）

phpBBは、ローカルパスワードの代わりに外部IDプロバイダー（OAuth）を介したログインをサポートしています。Apache自身の認証メカニズムもサポートされているプロバイダーの1つです。これを処理するエンドポイント ucp.php?mode=login_link&auth_provider=apache は、HTTP Authorization: Basic ヘッダーからユーザー名を直接取得し、そのユーザーの認証済みセッションを開始します。

バグは次のとおりです。このエンドポイントは、そのヘッダーのパスワード部分を実際には決してチェックしません。 通常のログインでは、パスワードが間違っていると拒否されます。しかし、これは拒否しません。主張するユーザー名を信頼し、送信するパスワードの値に関係なく、そのユーザーとしてログインします。任意の登録済みユーザー名とでっち上げのパスワードがあれば、完全に認証されたセッションを取得するのに十分です。

• 影響を受けるバージョン: phpBB 3.3.0 – 3.3.16
• 修正バージョン: 3.3.17（2026-06-06リリース）
• 影響: 既知のユーザー名の完全なアカウント乗っ取り、パスワード不要

このツールが実際に行うこと

• 認証なしでphpBBのバージョンを検出 — styles/prosilver/style.cfg、composer.json、styles/subsilver2/style.cfg、または feed.php を読み取り、バージョン文字列が開示されるまで順に試行します。
• ベアドメインのみを指定した場合、ucp.php を自動的に発見 — まず同一オリジン内の限定クロールを実行し、次に一般的なインストールパス（forum/、board/、phpBB3/ など）へのプロービングにフォールバックします。
• Cloudflare対応 — デフォルトのフェッチモードは実際のChromium（Playwright）を介して実行されるため、JSチャレンジがクリアされる可能性があります。ターゲットがチャレンジゲートされていない場合は、高速なプレーンHTTPリクエストのために --no-browser を追加します。また、ドメインの実際の非CloudflareオリジンIP（crt.name 証明書透過性ルックアップ + 一般的なadmin/mailサブドメインプロービングによる）の特定を試み、確認された場合はリクエストを直接そこにルーティングします。
• 脆弱なバージョンが確認されたら実際のバイパスを実行 — 細工された login_link リクエストを送信し、結果のセッションが実際にターゲットユーザーとして認証されたことを確認し（単なる200/302ではなく）、フォーラムをそのユーザーとして事前認証済みで任意のブラウザに読み込む、貼り付け可能なURLを出力します。
• --auto — 手動のユーザー名プロンプトをスキップし、ターゲットの公開 から実際のユーザー名を直接取得します（PoC実行の影響を抑えるため、admin/moderator/founderなどのスタッフと思われるアカウントをスキップし、通常のメンバーを優先します）。

インストール

git clone https://github.com/Ethicalgrey/phpBB-CVE-2026-48611.git
cd phpBB-CVE-2026-48611
chmod +x install.sh
./install.sh

install.sh は一回限りのセットアップです。スクリプトに必要なものすべて（requests、urllib3、playwright + そのChromiumブラウザ）をユーザー環境に直接インストールします。仮想環境をアクティベートする必要も、セットアップを繰り返す必要もありません。完了後、python3 CVE-2026-48611.py ... は、新しいターミナルからでも毎回そのまま動作します。

使用方法

# 単一ターゲット、ベアドメイン — ucp.phpを発見し、バージョンを検出し、
# 脆弱な場合はユーザー名をプロンプト表示
python3 CVE-2026-48611.py -u example.com

# 同様ですが、入力する代わりに公開メンバーリストからユーザー名を自動発見
python3 CVE-2026-48611.py -u example.com --auto

# 高速なプレーンHTTPモード、Chromiumなし — ターゲットの前に
# CloudflareスタイルのJSチャレンジがない場合に使用
python3 CVE-2026-48611.py -u example.com --no-browser

# ブラウザを可視状態で実行（JSチャレンジが人間のクリックを必要とする場合に必要）
python3 CVE-2026-48611.py -u example.com --headed

# ホストのリスト（1行に1つ）— 各脆弱なホストはエクスプロイト実行前に
# 個別にプロンプトを表示
python3 CVE-2026-48611.py -l targets.txt

# TLS検証をスキップ（自己署名/破損した証明書のターゲット用）
python3 CVE-2026-48611.py -u example.com -k

-u/--url と -l/--list は相互に排他的です。--auto は -u/--url でのみ機能します。リストモードでは意図的にサポートされていないため、バッチ実行では各ターゲットを人間が先に確認することなくエクスプロイトが発動することはありません。