SPIP CVE-2026-66738 CVSS 9.8 : RCE critique SQLite et 5 plugins vulnérables — alerte CERT-FR

Les faits

Le 10 août 2026, les chercheurs en sécurité ont publié les détails techniques de CVE-2026-66738, une vulnérabilité critique de type injection de code dans le CMS open-source SPIP (Système de Publication pour l'Internet Partagé). La faille affecte spécifiquement les installations utilisant SQLite comme moteur de base de données et porte un score CVSS de 9.8. Toutes les versions de SPIP antérieures à 4.4.18 sont vulnérables.

CVE-2026-66738 réside dans le traitement des entrées utilisateur au niveau de l'endpoint de navigation par menus de SPIP. Un attaquant authentifié disposant au minimum des droits de rédacteur — le niveau d'accès le plus bas dans la hiérarchie des rôles SPIP — peut soumettre une requête GET spécialement construite contenant des données de type tableau mal assainies. Le code vulnérable traite ces paramètres sans validation suffisante dans le contexte du backend SQLite, permettant l'injection de commandes OS arbitraires exécutées dans le contexte du processus serveur web. Le chercheur Chocapikk, qui a documenté et rapporté la vulnérabilité à l'équipe SPIP, précise dans son rapport que l'exploitation ne nécessite qu'une seule requête GET — aucune séquence complexe à enchaîner, aucune condition spéciale côté serveur au-delà de l'utilisation de SQLite.

La particularité de CVE-2026-66738 est qu'elle est spécifique aux installations SPIP configurées avec SQLite, par opposition aux installations utilisant MySQL/MariaDB ou PostgreSQL. SQLite est souvent choisi par des structures légères — petites communes, associations, établissements d'enseignement, bibliothèques — qui ne souhaitent pas maintenir un serveur de base de données séparé. Ces environnements disposent généralement de moins de ressources de sécurité et de cycles de mise à jour plus longs, ce qui en fait une cible de choix pour des attaquants opportunistes automatisant le scan de versions vulnérables.

Dès le lendemain, le 11 août 2026, le CERT-FR (Computer Emergency Response Team français, rattaché à l'ANSSI) a publié un avis de sécurité officiel couvrant CVE-2026-66738, qualifiant la vulnérabilité de critique et recommandant la mise à jour immédiate vers SPIP 4.4.18. L'avis CERT-FR mentionne également l'existence de vulnérabilités complémentaires permettant injection SQL, exécution de code à distance et SSRF (server-side request forgery) à travers d'autres points d'entrée du CMS.

En parallèle de CVE-2026-66738, le même chercheur Chocapikk a publié un rapport détaillant cinq vulnérabilités supplémentaires dans des plugins SPIP, référencées CVE-2026-27743 à CVE-2026-27747. Ces failles affectent des plugins largement déployés dans l'écosystème SPIP et couvrent plusieurs vecteurs : injection SQL permettant l'extraction de données sensibles, exécution de code à distance via des fonctionnalités d'upload ou de template mal protégées, et SSRF permettant de faire émettre des requêtes vers des services internes depuis le serveur SPIP. VulnCheck a confirmé dans son advisory que la chaîne SQLi couplée aux balises PHP natifs à SPIP peut conduire à une RCE fonctionnelle sur des versions antérieures à 4.4.18.

SPIP est un CMS particulièrement répandu dans le paysage web francophone et institutionnel français. Selon les données de Wappalyzer et BuiltWith, SPIP alimente plusieurs dizaines de milliers de sites web, avec une forte concentration dans le secteur public : communes et intercommunalités, collectivités territoriales, ministères, universités, bibliothèques, musées et associations subventionnées. Cette base d'utilisateurs — souvent moins dotée en ressources de sécurité et en cycles de mise à jour rapides — crée une surface d'attaque préoccupante, notamment pour des données personnelles de citoyens soumises au RGPD.

SPIP 4.4.18 a été publiée le 10 août 2026 spécifiquement pour corriger CVE-2026-66738 et les vulnérabilités documentées dans les plugins. L'équipe SPIP indique dans ses notes de version que la correction porte sur la validation stricte des paramètres de type tableau dans le navigateur de rubriques, avec assainissement renforcé avant transmission au moteur SQLite. La mise à jour est disponible directement via le panneau de mise à jour intégré à l'interface d'administration SPIP pour les installations à jour, ou en téléchargement depuis le dépôt officiel spip.net.

L'historique de SPIP en matière de vulnérabilités critiques est préoccupant. En 2023, CVE-2023-27372 (RCE CVSS 9.8, pré-authentification) avait été exploitée massivement quelques semaines après sa publication, ciblant notamment des portails institutionnels français pour y déposer des backdoors ou des outils de spam. En 2024, des acteurs cybercriminels avaient utilisé des instances SPIP vulnérables comme relais pour des campagnes de phishing ciblant des utilisateurs francophones. La communauté de sécurité anticipe que CVE-2026-66738 suivra le même schéma — d'autant que l'accès rédacteur requis pour l'exploitation peut être obtenu via inscription publique sur de nombreux sites SPIP ouverts à la contribution.

Impact et exposition

Toute installation SPIP antérieure à la version 4.4.18 utilisant SQLite est vulnérable à CVE-2026-66738. Les installations MySQL/MariaDB ou PostgreSQL ne sont pas affectées par cette vulnérabilité spécifique, mais peuvent l'être par les CVE-2026-27743 à CVE-2026-27747 si les plugins concernés sont installés et non mis à jour. Les sites SPIP ouverts à l'inscription publique sont les plus exposés : un compte rédacteur suffit pour exploiter la faille, et des attaquants automatisés peuvent s'enregistrer massivement sur des sites sans validation manuelle des comptes.

Une compromission réussie peut conduire à l'exfiltration complète de la base de données (données personnelles incluses), au dépôt d'un webshell pour persistance, à l'utilisation du serveur comme relais d'attaque, ou à la défiguration du site. Pour les institutions publiques, les conséquences incluent potentiellement une obligation de notification à la CNIL et aux personnes concernées en cas de violation de données personnelles couverte par le RGPD.

Recommandations

• Mise à jour immédiate : Passer à SPIP 4.4.18 via le panneau de mise à jour intégré ou téléchargement depuis spip.net.
• Plugins : Identifier les plugins installés, vérifier leur exposition aux CVE-2026-27743 à CVE-2026-27747 et désactiver les plugins non maintenus.
• Comptes rédacteurs : Vérifier la liste des comptes actifs, supprimer les comptes orphelins ou non reconnus, désactiver l'inscription publique si non nécessaire.
• Logs : Rechercher des requêtes GET anormales vers les endpoints de navigation (URLs contenant « spip.php?page=navigation » avec des paramètres inhabituels).
• Migration : Envisager la migration de SQLite vers MySQL/MariaDB pour les installations de production afin de réduire la surface d'attaque sur les vulnérabilités SQLite-spécifiques.
• Notification : En cas de compromission suspectée, notifier le CERT-FR et évaluer l'obligation de notification RGPD.