Hücumçular WordPress-də Bricksforge-in CVSS 10,0 zəifliyini avtorizasiya olmadan RCE üçün istifadə edirlər

Bricksforge zəifliyi aktiv şəkildə istifadə olunur

Patchstack-in məlum olduğu kimi, hücumçular WordPress-in Bricksforge plaqininin maksimum ciddilik zəifliyini aktiv şəkildə istifadə edirlər. CVE-2026-85097 kimi tanınan zəifliyin CVSS balı 10,0-dır və o, avtorizasiya olmadan hücumçuma qeyri-müəyyən saytlara yükləmək və istənilən PHP kodunu icra etmək, yəni uzaqdan kod icrası imkanı verir. Təhlükə Bricksforge-in 3.1.8 versiyası daxil versiyaları əhatə edir, düzəltmə isə 3.1.8.10-da mövcuddur.

Patchstack zəifliyə qarşı hücum cəhdlərini 2026-cı ilin 7 oktyabrı, UTC ilə 21:47-də qeydə alıb. Bricksforge, Bricks üçün „İsveçrə çörəyi" kimi, WordPress vizual saytlar qurma aləti kimi reklam olunur, animasiyaları, genişləndirilmiş formaları və skroll video seqüensiyaları dəstəkləyir. İstifadəçilərə təhlükəni azaltmaq üçün plaqini ən yeni versiyaya (4.0.1) yeniləmək tövsiyə olunur. Sayt sahiblərinə isə „/wp-json/bricksforge/v1/form_submit" nöqtəsinə gələn, „temporaryFileUploads" parametri ehtiva edən sorğuları, həmçinin təkrarlanan form göndərilmələrini və „/wp-content/uploads/bricksforge/tmp/" qovluğunda gözlənilməz PHP fayllarını yoxlamaq tövsiyə olunur.

İstismar necə işləyir

Zəifliyin səbəbi formun göndərilməsi zamanı 'temporaryFileUploads' parametrində URL sahəsinin kifayət qədər təsdiqlənməməsidir. Bricksforge faylın MIME tipini ilk yükləmə zamanı yoxlayır, lakin formun sonrakı göndərilməsi zamanı müştəri tərəfindən təqdim edilən faylın meta məlumatlarına güvənir və 'url' sahəsini yoxlamır.

Hücumçunu bunu dörd addımla etmək olar: 'bricksforge_regenerate_nonce' AJAX nöqtəsindən avtorizasiya olmadan etibarlı nonce tələb etmək, MIME yoxlamasından keçən GIF/PHP poliglotu yükləmək, 'file' ünvanı təsdiqlənən şəkilə işarə edən, 'url' isə PHP genişlənməsi ilə başa çatan formu göndərmək və fayla sorğu zamanı quraşdırılmış kodu icra etmək. Wordfence-in məlum olduğu kimi, hücumçular filtrasiya üçün PHP-nin .php5, .php7 və ya .phtml kimi alternativ genişlənmələrini, qeydiyyat dəyişikliyini, məsələn .PHP və ya .pHp, və şifrələnmiş genişlənmələrdən istifadə edirlər.

Qeydə alınan hücumlar REST API-nin form göndərmə nöqtəsinə „/wp-json/bricksforge/v1/form_submit" və ya „/wp-admin/admin-ajax.php" nöqtəsinə „bricksforge_form_submit" əməliyyatı ilə yönəlmişdi. Patchstack fəaliyyəti 63 unikal mənbə IP-dən qeydə alıb, onların altısı bütün sorğuların təxminən 46%-nı təşkil edir. İki klaster fərqlənir: 44 IP saniyələr içində 56 eyni payload ilə sorğu göndərib, üç IP isə eyni fayla qarşı PHP genişlənmələrinin 25 variantını yoxlayıb, bu isə dönən proksilərlə avtomatlaşdırılmış istismara işarə edir.

Plaqinlərlə əlaqəli zəifliklər

Təhlükə yaradan şəxslər həmçinin WPC Product Bundles for WooCommerce-da (CVE-2026-93836, CVSS 7,1) və Ninja Forms-da (CVE-2026-94504, CVSS 7,1) cross-site scripting zəifliklərindən istifadə edərək „x.js" JavaScript payload-unu yerləşdirirlər, bu backdoor plaqinini yayır və saxtı administrator hesabları yaradır. İmplanta avtorizasiya olmadan fayl meneceri, gizli WordPress administratoru yaradır və magic login URL əlavə edir. WPC Product Bundles-in 8.6.7 və Ninja Forms-un 3.15.4 versiyalarına yeniləmə sonrakı istismarı bloklayır, lakin artıq mövcud infeksiyanı aradan qaldırmır.

WordPress istismar tendensiyaları

Wordfence məlumatlarına görə, 2026-cı ilin ikinci rübündə WordPress ilə əlaqəli 2 073 zəiflik dərc edilib, yüksək təhlükəli zəifliklərin sayı isə əvvəlki rübə nisbətən 15,2% artıb və 182-ə çatıb. Bu dövrdə təxminən 573 000 WordPress saytı zərər çəkib. Ən çox hücum olunan zəifliklər arasında LiteSpeed Cache-də CVE-2024-28000, WPGraphQL-də CVE-2019-9879, Frontend File Manager-də CVE-2016-15042, WooCommerce Payments-də CVE-2023-28121 və SureTriggers-də CVE-2025-3102 var idi. Hücumçu IP-lərin əksəriyyəti ABŞ-dan idi, onu Almaniya, Çexiya, Avstraliya, Norveç, Fransa, Ukrayna, Niderland, İsveçrə və Braziliya izləyir.

Mənbələr: The Hacker News