Ir para conteúdo

Alerta de Vulnerabilidade - SPIP

21 Aug 2026

Alerta de Vulnerabilidade - SPIP

TIPO
Vulnerabilidade
SISTEMAS AFETADOS
SPIP
ECOSSISTEMA
Outro
CVSS v3.1 - Resumo Técnico CVSS: 9.8 / 10 - Crítico
CVE CVE-2026-77647
Vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Vetor de Ataque Rede Explorável remotamente através da rede
Complexidade Baixa Baixa complexidade de exploração
Privilégios Nenhum Sem autenticação
Interação Nenhuma Não requer intervenção do utilizador
Âmbito Inalterado O impacto permanece no âmbito de segurança do componente vulnerável
Impacto na Confidencialidade Alto Impacto elevado na confidencialidade
Impacto na Integridade Alto Impacto elevado na integridade
Impacto na Disponibilidade Alto Impacto elevado na disponibilidade
Resumo Vulnerabilidade de severidade crítica (CVSS 9.8), identificada como CVE-2026-77647, de injeção de código (CWE-94) no gestor de conteúdos SPIP. Decorre da identificação incorreta de blocos <?php e do tratamento inadequado, pela função var_export, de determinados casos como a presença do carácter <, correspondendo a um caso não coberto pela correção do CVE-2018-0499. Um atacante remoto não autenticado pode executar código arbitrário no servidor, no contexto do processo do servidor web. Afeta as versões anteriores à 4.4.20; corrigido na versão 4.4.20. Vulnerabilidade explorada em ambiente real em agosto de 2026.

Descrição
Vulnerabilidade de injeção de código (CWE-94) no SPIP, um sistema de gestão de conteúdo web (CMS) open-source, com o identificador CVE-2026-77647/EUVD-2026-63757 [1][2]. A vulnerabilidade resulta de dois problemas na sanitização de entrada: a identificação incorreta de blocos <?php e o tratamento incorreto do caráter "<"" pelo mecanismo var_export, que em conjunto permitem que código PHP injetado escape à filtragem e seja executado pelo servidor [1][3].

São afetadas todas as versões do SPIP anteriores à 4.4.20. A correção está disponível na versão 4.4.20 [3]. As branches 4.1 e 4.2 chegaram ao fim do suporte em janeiro de 2025 e a branch 4.3 em setembro de 2025; nenhuma destas receberá correção para esta vulnerabilidade. Os sítios que as utilizam devem ser considerados afetados sem solução disponível e migrados para a branch 4.4.

Impacto
A exploração é remota e não requer autenticação nem interação do utilizador. O atacante submete pedidos especialmente construídos que contornam a sanitização de PHP do SPIP, executando código arbitrário no contexto do servidor web. A exploração bem-sucedida pode resultar no comprometimento total do servidor, incluindo acesso à base de dados e instalação de webshells. 

Resolução
Recomenda-se a atualização imediata do SPIP para a versão 4.4.20 ou posterior [3].

Medidas adicionais recomendadas:
  • Os websites em branches sem suporte (4.3.x, 4.2.x, 4.1.x e anteriores) devem ser migrados para a branch 4.4 e atualizados para a 4.4.20 [3];
  • Inspecionar os logs do servidor web para identificar pedidos anómalos ao SPIP anteriores à atualização, e verificar a presença de ficheiros PHP não autorizados no servidor [1];
  • Restringir o acesso à interface de administração do SPIP (/ecrire/) a endereços IP autorizados sempre que possível.
Referências
[1] - https://nvd.nist.gov/vuln/detail/CVE-2026-77647
[2] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-77647
[3] - https://blog.spip.net/Mise-a-jour-critique-de-securite-sortie-de-SPIP-4-4-20.html
Última atualização em 07-09-2022