En bref

  • CVE-2026-77806 : injection de code PHP non authentifiée dans SPIP via l'en-tête HTTP X-Spip-Filtre, CVSS 9.8 (Critique) — exploitation active confirmée
  • Systèmes affectés : SPIP versions antérieures à 4.4.21 — tous sites SPIP exposés sur Internet sont vulnérables
  • Action urgente : mettre à jour SPIP vers la version 4.4.21 immédiatement ; le CERT-FR et la CISA confirment une exploitation active in-the-wild

Les faits

Une vulnérabilité critique d'injection de code a été découverte dans SPIP, le système de publication open source très utilisé par les administrations françaises, les collectivités territoriales et les organisations associatives. Référencée CVE-2026-77806 avec un score CVSS 3.1 de 9.8 (vecteur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), cette faille permet à tout attaquant distant sans aucune authentification préalable d'exécuter du code PHP arbitraire — et par extension des commandes système — sur le serveur hébergeant l'application.

L'équipe SPIP a publié la version corrective 4.4.21 après avoir été alertée des premières tentatives d'exploitation. Le CERT-FR a relayé cette alerte dans son bulletin de la semaine du 18 août 2026 et a confirmé l'observation d'exploitation active en France. La CISA américaine a parallèlement ajouté CVE-2026-77806 à son catalogue KEV (Known Exploited Vulnerabilities), imposant aux agences fédérales américaines de patcher avant le 10 septembre 2026.

Techniquement, la faille réside dans la façon dont la fonction analyse_resultat_skel du moteur de templates de SPIP traite l'en-tête HTTP X-Spip-Filtre. Ce mécanisme, initialement prévu pour des usages internes de filtrage, permet d'injecter une chaîne de noms de fonctions PHP de filtrage qui sont appliquées séquentiellement à une entrée utilisateur atteignant un template compilé. En forgeant une requête HTTP contenant un en-tête X-Spip-Filtre malveillant pointant vers des fonctions PHP dangereuses telles que system(), exec() ou passthru(), un attaquant peut faire exécuter des commandes OS arbitraires au serveur.

La root cause de la vulnérabilité est un contrôle insuffisant de la liste blanche des fonctions PHP autorisées dans le mécanisme de filtrage. SPIP implémentait une liste de filtres autorisés, mais la validation pouvait être contournée par des techniques d'obfuscation ou de chaînage de fonctions. Les détails techniques précis ont été publiés par Rapid7 dans sa base de données de vulnérabilités et par IONIX dans son Threat Center, classant cette faille CWE-94 (Improper Control of Generation of Code).

Des chercheurs de la communauté Chocapikk ont par ailleurs documenté cinq vulnérabilités supplémentaires dans des plugins SPIP populaires (CVE-2026-27743 à CVE-2026-27747), formant potentiellement des chaînes d'attaque combinées avec CVE-2026-77806. Bien que ces plugins CVE soient de sévérité moindre, leur combinaison avec la faille principale amplifierait considérablement les capacités d'un attaquant ayant compromis un serveur SPIP.

L'exploitation de CVE-2026-77806 ne requiert aucune connaissance préalable du site ciblé, aucun compte utilisateur, et peut être réalisée par une simple requête HTTP — ce qui la rend particulièrement adaptée aux campagnes de scan automatisé à grande échelle. Les premiers rapports d'exploitation observés en août 2026 font état de dépôts de web shells PHP, de mineurs de cryptomonnaies et de tentatives de reconnaissance du réseau interne depuis les serveurs SPIP compromis.

SPIP est particulièrement répandu dans le secteur public français : de nombreuses mairies, conseils départementaux, ministères et établissements d'enseignement supérieur utilisent ce CMS. La surface d'attaque en France est donc potentiellement significative, ce qui explique la réactivité du CERT-FR à émettre une alerte publique. L'ANSSI avait déjà mis en garde par le passé sur la nécessité de maintenir à jour les instances SPIP exposées sur Internet.

Impact et exposition

Toute instance SPIP antérieure à la version 4.4.21 exposée sur Internet est directement vulnérable. L'exploitation est triviale — une seule requête HTTP suffit — et des outils d'exploitation automatisés existent déjà dans les communautés cybercriminelles selon les observations des équipes de threat intelligence. Les serveurs sans contrôle des en-têtes HTTP entrants au niveau du WAF ou du reverse proxy sont particulièrement exposés.

Une exploitation réussie donne à l'attaquant un accès complet au système de fichiers du serveur avec les droits du processus web (typiquement www-data), permettant : l'exfiltration de la base de données SPIP (articles, utilisateurs, mots de passe hashés), la pose de web shells persistants, l'utilisation du serveur comme point de rebond vers le réseau interne, ou le défacement du site. Dans les environnements où le serveur web tourne avec des droits élevés ou dans un conteneur mal configuré, la compromission peut s'étendre à l'infrastructure sous-jacente.

Le secteur public français représente la cible prioritaire compte tenu de l'adoption massive de SPIP dans les collectivités. Les organisations n'ayant pas de processus de gestion des correctifs formalisé et n'ayant pas reçu l'alerte CERT-FR sont particulièrement à risque. L'exploitation active confirmée signifie que des attaquants scannent activement Internet à la recherche d'instances vulnérables.

Recommandations immédiates

  • Mettre à jour SPIP vers la version 4.4.21 ou ultérieure sans délai — consulter le changelog officiel SPIP (mise à jour via l'interface d'administration ou en remplacement manuel des fichiers core)
  • Vérifier si le serveur a déjà été compromis : rechercher des fichiers PHP récemment créés dans les répertoires /tmp/, /cache/ et /IMG/ de SPIP, ainsi que des processus système inhabituels (mineurs, reverse shells)
  • Appliquer une règle WAF bloquant les requêtes HTTP contenant l'en-tête X-Spip-Filtre provenant de sources non autorisées — mitigation temporaire si la mise à jour ne peut être appliquée immédiatement
  • Réinitialiser les mots de passe de tous les administrateurs SPIP et vérifier l'intégrité des fichiers core via un checksum après patching
  • Signaler tout incident de compromission au CERT-FR (cert.ssi.gouv.fr) pour les organisations du secteur public

⚠️ Urgence maximale

Exploitation active confirmée en France par le CERT-FR. CVE inscrite au catalogue KEV de la CISA. Des outils d'exploitation automatisés circulent. Si votre organisation utilise SPIP, considérez votre instance comme potentiellement compromise si elle n'est pas encore patchée en version 4.4.21. Vérifiez immédiatement les logs et les fichiers récemment modifiés.

Comment savoir si je suis vulnérable ?

Connectez-vous à l'interface d'administration SPIP et vérifiez le numéro de version affiché dans le pied de page ou dans la section "À propos". Si la version est inférieure à 4.4.21, vous êtes vulnérable. Depuis le serveur, vous pouvez également exécuter grep "version" /chemin/vers/spip/ecrire/inc_version.php pour lire la version programmatiquement. Pour détecter une exploitation passée, inspectez les logs Apache/Nginx à la recherche de requêtes contenant l'en-tête X-Spip-Filtre : grep -i "X-Spip-Filtre" /var/log/apache2/access.log. La présence de telles entrées avec des codes HTTP 200 est un indicateur fort de compromission.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits ciblés pour identifier et corriger vos vulnérabilités.

Demander un audit