CVE-2026-77647
KrytyczneCVSS 9.8Streszczenie
SPIP przed wersją 4.4.20 zawiera podatność umożliwiającą nieuwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu. Problem związany jest z nieprawidłową identyfikacją bloków <?php oraz błędnym przetwarzaniem przez var_export pewnych przypadków, takich jak obecność znaku '<'. Podatność była wykorzystywana w środowisku dzikim w sierpniu 2026 roku.
Ocena ryzyka
Atakujący bez uwierzytelnienia może przejąć kontrolę nad serwerem, co może prowadzić do pełnej kompromitacji systemu, kradzieży danych lub dalszych ataków w sieci.
Rekomendacja
Niezwłocznie zaktualizuj SPIP do wersji 4.4.20 lub nowszej, aby wyeliminować podatność.
Oryginalny opis (angielski, źródło NVD)
SPIP before 4.4.20 allows unauthenticated remote attackers to execute arbitrary code, as exploited in the wild in August 2026. This is related to incorrect identification of <?php blocks, and var_export's mishandling of certain cases such as presence of a '<' character.