المهاجمون يستغلون ثغرة Bricksforge بتصنيف CVSS 10.0 لتنفيذ RCE دون مصادقة في WordPress

ثغرة Bricksforge تُستغل بنشاط

وفقًا لـ Patchstack، يستغل المهاجمون بنشاط ثغرة خطيرة للغاية في إضافة Bricksforge لـ WordPress. الثغرة المعروفة باسم CVE-2026-85097 حصلت على درجة CVSS 10.0 وتتيح للمهاجم دون مصادقة تحميل وتنفيذ تعليمات PHP عشوائية على المواقع غير المحمية، أي تنفيذ تعليمات برمجية عن بُعد. الخطر يشمل إصدارات Bricksforge حتى 3.1.8، بينما الإصلاح موجود في 3.1.8.10.

سجلت Patchstack محاولات هجوم موجهة ضد الثغرة في 7 أكتوبر 2026 الساعة 21:47 بتوقيت UTC. يُسوّق Bricksforge باعتباره "سكين الجيش السويسري" لـ Bricks، أداة بناء المواقع المرئية لـ WordPress، والتي تدعم الرسوم المتحركة والنماذج الموسعة وتسلسلات الفيديو عند التمرير. يُنصح المستخدمون بتحديث الإضافة إلى أحدث إصدار (4.0.1) لتقليل المخاطر. كما يُنصح أصحاب المواقع بفحص الطلبات الواردة إلى نقطة النهاية "/wp-json/bricksforge/v1/form_submit" التي تحتوي على المعامل "temporaryFileUploads"، بالإضافة إلى عمليات إرسال النماذج المتكررة وملفات PHP غير المتوقعة في مجلد "/wp-content/uploads/bricksforge/tmp/".

كيف يعمل الاستغلال

سبب الثغرة هو عدم كفاية التحقق من حقل URL في المعامل 'temporaryFileUploads' عند إرسال النموذج. يتحقق Bricksforge من نوع MIME للملف عند التحميل الأول، لكنه عند الإرسال اللاحق للنموذج يثق ببيانات الملف الوصفية المقدمة من العميل ولا يتحقق من حقل 'url'.

يمكن للمهاجم استغلال ذلك في أربع خطوات: طلب nonce صالح من نقطة نهاية AJAX غير المصادقة 'bricksforge_regenerate_nonce'، تحميل ملف GIF/PHP هجين يجتاز فحص MIME، إرسال نموذج حيث يشير عنوان 'file' إلى صورة صالحة بينما ينتهي 'url' بامتداد PHP، وعند طلب الملف يتم تنفيذ التعليمات البرمجية المضمنة. وفقًا لـ Wordfence، يستخدم المهاجمون امتدادات PHP البديلة مثل .php5 أو .php7 أو .phtml، وتغييرات في حالة الأحرف مثل .PHP أو .pHp، والامتدادات المشفرة لتجاوز التصفية.

استهدفت الهجمات المسجلة نقطة نهاية إرسال النماذج في REST API وهي "/wp-json/bricksforge/v1/form_submit" أو نقطة النهاية "/wp-admin/admin-ajax.php" عبر الإجراء "bricksforge_form_submit". سجلت Patchstack نشاطًا من 63 عنوان IP مصدر فريد، تأتي منها ستة عناوين حوالي 46% من جميع الطلبات. برزت مجموعتان: 44 عنوان IP أرسلت 56 طلبًا بحمولات متطابقة في ثوانٍ، وثلاثة عناوين IP اختبرت 25 نوعًا من امتدادات PHP لملف واحد في نفس الوقت، مما يشير إلى استغلال آلي عبر وكلاء دوارين.

الثغرات المرتبطة في الإضافات

يستخدم المهاجمون أيضًا ثغرات البرمجة عبر المواقع (cross-site scripting) في WPC Product Bundles for WooCommerce (CVE-2026-93836، CVSS 7.1) و Ninja Forms (CVE-2026-94504، CVSS 7.1) لتقديم حمولة JavaScript باسم "x.js"، التي تنشر إضافة backdoor وتنشئ حسابات مدير وهمية. يحتوي الزرع على مدير ملفات دون مصادقة، وينشئ مدير WordPress مخفيًا ويضيف رابط تسجيل دخول سحري. التحديث إلى إصداري WPC Product Bundles 8.6.7 و Ninja Forms 3.15.4 يمنع الاستغلال المستقبلي، لكنه لا يزيل الإصابات الموجودة بالفعل.

اتجاهات استغلال WordPress

وفقًا لبيانات Wordfence، تم نشر 2073 ثغرة مرتبطة بـ WordPress في الربع الثاني من عام 2026، وارتفع عدد الثغرات عالية الخطورة بنسبة 15.2% مقارنة بالربع السابق ليصل إلى 182. في هذه الفترة، تعرض حوالي 573000 موقع WordPress للاختراق. من بين الثغرات الأكثر استهدافًا كانت CVE-2024-28000 في LiteSpeed Cache، و CVE-2019-9879 في WPGraphQL، و CVE-2016-15042 في Frontend File Manager، و CVE-2023-28121 في WooCommerce Payments، و CVE-2025-3102 في SureTriggers. غالبية عناوين IP المهاجمة كانت من الولايات المتحدة، تليها ألمانيا والتشيك وأستراليا والنرويج وفرنسا وأوكرانيا وهولندا وسويسرا والبرازيل.

المصادر: The Hacker News