Գրոհները օգտագործում են Bricksforge-ի CVSS 10,0 թերությունը WordPress-ում ավտորիզացիայից առանց RCE-ի համար

Bricksforge-ի թերությունը ակտիվորեն օգտագործվում է

Patchstack-ի տեղեկությամբ՝ գրոհները ակտիվորեն օգտագործում են WordPress-ի Bricksforge պլագինի առավելագույն ծանրության թերությունը: CVE-2026-85097-ով հայտնական թերության CVSS միավորը 10,0 է, և այն ավտորիզացիայից առանց թույլ է տալիս գրոհին վնավոր կայքերում վերբեռնել և կատարել կամայական PHP կոդ, այսինքն իրականացնել հեռահար կոդի կատարումը: Վտանգը վերաբերում է Bricksforge-ի 3.1.8 մինչև ներառյալ տարբերակներին, իսկ ուղղումը կատարված է 3.1.8.10 տարբերակում:

Patchstack-ը թերության վրա հասցված հաձերի փորձերը գրանցել է 2026 թվականի հոկտեմբերի 7-ին, 21:47-ին UTC-ով: Bricksforge-ը գովազդահանգված է որպես „Շվեյցարական դանակ" Bricks-ի համար՝ WordPress-ի վիզուալ կայքերի կառուցման գործիքի համար, որը աջակցում է անիմացիաներին, ընդլայնված ձևերին և սկրոլով տեսահաջորդականություններին: Օգտատերերին խորհուրդ է տրվում վերբեռնել պլագինը մինչև վերջին տարբերակ (4.0.1) վտանգի նվազեցման համար: Կայքի սեփականատերերին նույնպես խորհուրդ է տրվում ստուգել „/wp-json/bricksforge/v1/form_submit" ենդպոինտում մուտքագրված հարցումները, որոնք պարունակում են „temporaryFileUploads" պարամետրը, ինչպես նաև կրկնակի ձևերի ուղարկումները և անսպասելի PHP ֆայլերը „/wp-content/uploads/bricksforge/tmp/" պանակում:

Ինչպես է աշխատում օգտագործումը

Թերության պատճառը ձևի ուղարկման ժամանակ 'temporaryFileUploads' պարամետրում URL դաշտի անբավարար վալիդացիան է: Bricksforge-ը ֆայլի MIME տեսակը ստուգում է առաջին վերբեռնման ժամանակ, սակայն ձևի հետագա ուղարկման ժամանակ վստահում է հաճախորդի կողմից ներկայացված ֆայլի մետատվյալներին և չի ստուգում 'url' դաշտը:

Գրոհը կարող է օգտագործել սա քառաստիճան գործողությամբ. պահանջել վավեր nonce անավտորիզացված 'bricksforge_regenerate_nonce' AJAX ենդպոինտից, վերբեռնել GIF/PHP պոլիգլոտ, որը անցնում է MIME ստուգումը, ուղարկել ձև, որտեղ 'file' հասցեն ցույց է տալիս վավեր պատկերի վրա, 'url'-ը՝ ավարտվում է PHP ընդլայնմամբ, և ֆայլի հարցման ժամանակ առաջացնել ներկառուցված կոդի կատարումը: Wordfence-ի տեղեկությամբ՝ գրոհները ֆիլտրացիան շրջանցելու համար օգտագործում են PHP-ի այլընտրանքային ընդլայնումներ, ինչպիսիք են .php5, .php7 կամ .phtml, ռեգիստրի փոփոխություններ, օրինակ .PHP կամ .pHp, և գաղտնագրված ընդլայնումներ:

Գրանցված հաձերը ուղղված էին REST API-ի ձևի ուղարկման ենդպոինտին „/wp-json/bricksforge/v1/form_submit" կամ „/wp-admin/admin-ajax.php" ենդպոինտին „bricksforge_form_submit" գործողությամբ: Patchstack-ը գրանցել է ակտիվություն 63 ունիկալ հասցեից, որոնցից վեցը կազմում են բոլոր հարցումների մոտ 46%-ը: Առաջացել են երկու կլաստեր. 44 IP-ն վայրկյանների ընթացքում ուղարկել է 56 հարցում նույնական payload-ներով, իսկ երեք IP-ն միաժամանակ ստուգել է նույն ֆայլի դեմ PHP ընդլայնումների 25 տարբերակ, ինչը ցույց է տալիս ճկուն պրոքսիներով ավտոմատացված օգտագործման մասին:

Պլագինների հետ կապված թերություններ

Վտանգի կատարողները նաև օգտագործում են cross-site scripting թերությունները WPC Product Bundles for WooCommerce-ում (CVE-2026-93836, CVSS 7,1) և Ninja Forms-ում (CVE-2026-94504, CVSS 7,1), որպեսզի հասցնեն JavaScript payload „x.js", որը տարածում է backdoor պլագինը և ստեղծում է խաբեբան ադմինիստրատորի հաշիվներ: Իմպլանտը ունի ավտորիզացիայից առանց ֆայլ-մենեջեր, ստեղծում է թաքցված WordPress ադմինիստրատոր և ավելացնում է magic login URL: WPC Product Bundles-ի 8.6.7 և Ninja Forms-ի 3.15.4 տարբերակների թարմացումը հետագա օգտագործումը կանխում է, սակայն չի վեարկում արդեն առկա ինՆեկցիան:

WordPress-ի օգտագործման տենդենցիաները

Wordfence-ի տվյալներով՝ 2026 թվականի երկրորդ եռամսյակում հրապարակվել է WordPress-ի հետ կապված 2 073 թերություն, իսկ բարձր վտանգի թերությունների քանակը նախորդ եռամսյակի հետ համեմատած 15,2%-ով աճել է և հասել 182-ի: Այս ժամանակահատվածում մոտ 573 000 WordPress կայք վնասվել է: Ամենահաճախ թիրախական թերությունների թվում էին CVE-2024-28000 LiteSpeed Cache-ում, CVE-2019-9879 WPGraphQL-ում, CVE-2016-15042 Frontend File Manager-ում, CVE-2023-28121 WooCommerce Payments-ում և CVE-2025-3102 SureTriggers-ում: Հաձերի IP-ների մեծամասնությունը ԱՄՆ-ից էր, որին հետևում էին Գերմանիան, Չեխիան, Ավստրալիան, Նորվեգիան, Ֆրանսիան, Ուկրաինան, Նիդերլանդները, Շվեյցարիան և Բրազիլիան:

Հղումներ: The Hacker News