2026年8月，SPIP 内容管理系统被发现存在高危远程代码执行漏洞 CVE-2026-77806，该漏洞影响 SPIP 4.4.21 以下版本，攻击者无需身份认证即可通过构造恶意 HTTP 请求实现服务器端任意代码执行。目前该漏洞已被攻击者在真实环境中利用。漏洞根因是 SPIP 在处理 X-Spip-Filtre HTTP 请求头时存在代码注入缺陷，攻击者可利用该请求头影响 analyse_resultat_skel 处理流程，最终触发 PHP 代码执行。该漏洞 CVSS 评分达到 9.8（Critical），属于典型的预认证 RCE 漏洞。
