CVE-2026-77647 Ejecución remota de código en SPIP
SPIP anterior a 4.4.20 permite a atacantes remotos no autenticados ejecutar código arbitrario, explotado en la naturaleza en agosto de 2026. Se relaciona con la identificación incorrecta de bloques ?php y el manejo inadecuado de var_export en ciertos casos, como la presencia del carácter ''.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/112,3 % · percentil 83
- Explotada activamenteNo confirmada
- Exploit públicoSí, 1
Afectados
SPIP
hasta antes de 4.4.20
Qué hacer
- Verificá si usás SPIP y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
- Priorizá la corrección: hay código de explotación público.
Exploits públicos
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
Calculadora CVSS
CVSS 3.1 · 9.8 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
SPIP before 4.4.20 allows unauthenticated remote attackers to execute arbitrary code, as exploited in the wild in August 2026. This is related to incorrect identification of <?php blocks, and var_export's mishandling of certain cases such as presence of a '<' character.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.