Vulnerabilitate CVSS 10.0 în Bricksforge, exploatată activ: RCE fără autentificare pe site-uri WordPress

Site-urile WordPress care folosesc extensia Bricksforge pentru builder-ul Bricks sunt ținta unor atacuri automatizate care exploatează CVE-2026-85097. Este o vulnerabilitate de severitate maximă (CVSS 10.0) prin care un atacator fără cont poate rula cod PHP arbitrar pe server. Sunt afectate toate versiunile până la 3.1.8.9 inclusiv. Problema a fost corectată în 3.1.8.10, iar versiunea curentă este 4.0.1.

Ce s-a întâmplat

Patchstack a observat primele încercări de exploatare pe 7 octombrie 2026, la 21:47 UTC. Cauza este o problemă de încredere în modul în care Bricksforge procesează fișierele încărcate prin formulare. Plugin-ul verifică tipul MIME al fișierului la prima încărcare. La trimiterea ulterioară a formularului însă, acceptă fără o nouă verificare metadatele trimise de client, inclusiv câmpul url din parametrul temporaryFileUploads.

Pe scurt, lanțul de atac arată așa:

• Atacatorul obține un nonce valid printr-o acțiune AJAX care nu cere autentificare.
• Încarcă un fișier poliglot imagine/PHP. Acesta trece de verificarea MIME și ajunge în folderul temporar al plugin-ului.
• Trimite un formular în care calea fișierului indică imaginea „curată”, dar câmpul url se termină cu o extensie PHP.
• Plugin-ul scrie conținutul la locația PHP, iar la accesarea fișierului codul atacatorului este executat.

Cererile observate vizează /wp-json/bricksforge/v1/form_submit sau admin-ajax.php cu acțiunea bricksforge_form_submit. Ele încearcă pe rând extensii alternative (.phtml, .php5, .php7), litere mari și mici amestecate și variante codate URL, ca să ocolească filtrele de extensii.

Datele de telemetrie arată 63 de IP-uri sursă, iar șase dintre ele generează aproximativ 46% din trafic. Se remarcă două tipare: un val de payload-uri aproape identice trimise de zeci de IP-uri și un grup mic care testează sistematic variații de extensii și codări. Ambele indică unelte automatizate care rulează pe infrastructură distribuită sau prin proxy-uri. Activitatea nu a fost atribuită unui anumit grup de atacatori.

Cele mai active adrese (dezactivate): 177.75.57[.]20, 23.97.62[.]146, 84.247.60[.]125, 38.154.185[.]97, 150.109.16[.]166, 153.75.90[.]146.

Nu este singurul plugin WordPress vizat

În paralel, atacatorii exploatează vulnerabilități XSS stocate în WPC Product Bundles for WooCommerce (CVE-2026-93836, CVSS 7.1) și Ninja Forms (CVE-2026-94504, CVSS 7.1). Payload-ul injectat, x.js, rulează în browserul unui administrator autentificat și folosește sesiunea acestuia pentru a:

• instala un plugin backdoor cu un manager de fișiere accesibil fără autentificare,
• crea un cont de administrator ascuns din ecranul Utilizatori,
• configura un URL de tip „magic login” care autentifică deținătorul drept cel mai vechi administrator.

Versiunile corectate sunt 8.6.7 și 3.15.4. Actualizarea închide breșa, dar nu elimină un implant deja instalat.

De ce contează

Un RCE fără autentificare pe un CMS public este printre cele mai grave riscuri web: preluarea completă a site-ului, web shell-uri, furt de date și acces persistent, fără nicio parolă. Tendința generală confirmă asta. Wordfence a numărat 2.073 de vulnerabilități WordPress publicate în T2 2026, cu o creștere de 15,2% a celor cu risc ridicat față de trimestrul anterior, și aproximativ 573.000 de site-uri compromise. Și vulnerabilitățile vechi sunt încă exploatate: LiteSpeed Cache (CVE-2024-28000), WPGraphQL (CVE-2019-9879) și WooCommerce Payments (CVE-2023-28121) rămân în top cinci al atacatorilor.

Ce trebuie făcut

1. Actualizați Bricksforge imediat la 3.1.8.10 sau mai nou (recomandat 4.0.1). Dacă nu puteți actualiza imediat, dezactivați plugin-ul.
2. Căutați semne de compromitere. Verificați dacă există fișiere .php, .phtml sau .php5/7 neașteptate în /wp-content/uploads/bricksforge/tmp/ și analizați logurile pentru cereri form_submit cu temporaryFileUploads, mai ales trimiteri repetate în rafală.
3. Actualizați WPC Product Bundles (≥ 8.6.7) și Ninja Forms (≥ 3.15.4). Apoi verificați direct în baza de date dacă există conturi de administrator necunoscute, inspectați directorul mu-plugins și revizuiți plugin-urile instalate recent.
4. Blocați sau monitorizați IP-urile de mai sus în WAF. Tratați-le ca pe un semnal temporar, nu ca pe o apărare completă.
5. Țineți un inventar al plugin-urilor. Nu puteți actualiza ce nu știți că rulează. O evaluare externă periodică a vulnerabilităților semnalează plugin-urile expuse sau neactualizate înainte să le găsească atacatorii.

Dacă un site a fost expus înainte de actualizare, tratați-l ca fiind compromis. Schimbați parolele și cheile, iar dacă găsiți semne de modificări, restaurați dintr-un backup sigur.

Credit cercetare: detaliile despre exploatare provin de la Patchstack și Wordfence; subiect relatat inițial de The Hacker News.