თავდამსხმელები CVSS 10,0-ის Bricksforge-ის სისუსტეს WordPress-ში ავტორიზაციის გარეშე RCE-სთვის იყენებენ

Bricksforge-ის ხარვეზი აქტიურად გამოიყენება

Patchstack-ის ცნობით, თავდამსხმელები აქტიურად იყენებენ WordPress-ის Bricksforge-ის პლაგინის მაქსიმალური სიმძიმის სისუსტეს. CVE-2026-85097-ად ცნობილი ხარვეზის CVSS ქულა 10,0-ია და ის ავტორიზაციის გარეშე აძლევს თავდამსხმელს საშუალებას, დაუცველ საიტებზე ატვირთოს და შეასრულოს თვითნებური PHP კოდი, ანუ მოახდინოს შორეული კოდის შესრულება. საფრთხე Bricksforge-ის 3.1.8-ის ჩათვლით ვერსიებს ეხება, გამოსწორება კი 3.1.8.10-შია.

Patchstack-მა ხარვეზზე მიმართული შეტევების მცდელობა 2026 წლის 7 ოქტომბერს, 21:47 საათზე UTC-ით დააფიქსირა. Bricksforge რეკლამირდება როგორც „შვეიცარიული ჯარის დანა“ Bricks-ისთვის, WordPress-ის ვიზუალური საიტების აწყობის ინსტრუმენტისთვის, რომელიც მხარს უჭერს ანიმაციებს, გაფართოებულ ფორმებსა და სქროლვად ვიდეოსეკვენციებს. მომხმარებლებს ურჩევენ, საფრთხის შესამცირებლად პლაგინი უახლეს ვერსიამდე (4.0.1) განაახლონ. საიტის მფლობელებს კი რეკომენდაცია ეძლევათ, შეამოწმონ „/wp-json/bricksforge/v1/form_submit“ ენდპოინტზე შემოსული მოთხოვნები, რომლებიც შეიცავს „temporaryFileUploads“ პარამეტრს, აგრეთვე განმეორებითი ფორმის გაგზავნები და მოულოდნელი PHP ფაილები „/wp-content/uploads/bricksforge/tmp/“ საქაღალდეში.

როგორ მუშაობს ექსპლუატაცია

სისუსტის მიზეზი ფორმის გაგზავნისას 'temporaryFileUploads' პარამეტრში URL ველის არასაკმარისი ვალიდაციაა. Bricksforge ფაილის MIME ტიპს პირველი ატვირთვისას ამოწმებს, თუმცა ფორმის შემდგომი გაგზავნისას კლიენტის მიერ მოწოდებულ ფაილის მეტამონაცემებს ენდობა და 'url' ველს არ ამოწმებს.

თავდამსხმელს ამის გამოყენება ოთხ ნაბიჯად შეუძლია: მოითხოვოს ვალიდური nonce არაავტორიზებული 'bricksforge_regenerate_nonce' AJAX ენდპოინტიდან, ატვირთოს GIF/PHP პოლიგლოტი, რომელიც MIME შემოწმებას გადის, გააგზავნოს ფორმა, სადაც 'file' მისამართი ვალიდირებულ სურათზე მიუთითებს, 'url' კი PHP გაფართოებით მთავრდება, და ფაილზე მოთხოვნისას ჩაშენებული კოდის შესრულება გამოიწვიოს. Wordfence-ის ცნობით, თავდამსხმელები ფილტრაციის ასავლელად იყენებენ PHP-ის ალტერნატიულ გაფართოებებს, როგორიცაა .php5, .php7 ან .phtml, რეგისტრის ცვლილებას, მაგალითად .PHP ან .pHp, და დაშიფრულ გაფართოებებს.

დაფიქსირებული შეტევები მიმართული იყო REST API-ის ფორმის გაგზავნის ენდპოინტზე „/wp-json/bricksforge/v1/form_submit“ ან „/wp-admin/admin-ajax.php“ ენდპოინტზე „bricksforge_form_submit“ მოქმედებით. Patchstack-მა აქტივობა 63 უნიკალური წყარო IP-დან დააფიქსირა, საიდანაც ექვსზე მოდის ყველა მოთხოვნის დაახლოებით 46%. ორი კლასტერი გამოირჩა: 44 IP-მა წამებში 56 მოთხოვნა იდენტური payload-ებით გააგზავნა, სამმა IP-მა კი იმავე დროებითი ფაილის წინააღმდეგ PHP გაფართოებების 25 ვარიაცია შეამოწმა, რაც მბრუნავი პროქსიებით ავტომატიზებულ ექსპლუატაციაზე მიუთითებს.

პლაგინების დაკავშირებული სისუსტეები

საფრთხის მოქმედი პირები ასევე იყენებენ cross-site scripting ხარვეზებს WPC Product Bundles for WooCommerce-ში (CVE-2026-93836, CVSS 7,1) და Ninja Forms-ში (CVE-2026-94504, CVSS 7,1), რათა მიიტანონ JavaScript payload „x.js“, რომელიც ავრცელებს backdoor პლაგინს და ქმნის თაღლითურ ადმინისტრატორის ანგარიშებს. იმპლანტს აქვს ავტორიზაციის გარეშე ფაილ-მენეჯერი, ქმნის დამალულ WordPress ადმინისტრატორს და ამატებს magic login URL-ს. WPC Product Bundles-ის 8.6.7 და Ninja Forms-ის 3.15.4 ვერსიებზე განახლება შემდგომ ექსპლუატაციას აღკვეთს, მაგრამ უკვე არსებულ ინფექციას არ აცილებს.

WordPress-ის ექსპლუატაციის ტენდენციები

Wordfence-ის მონაცემებით, 2026 წლის მეორე კვარტალში WordPress-თან დაკავშირებული 2 073 სისუსტე გამოქვეყნდა, მაღალი საფრთხის ხარვეზების რაოდენობა კი წინა კვარტალთან შედარებით 15,2%-ით გაიზარდა და 182-ს მიაღწია. ამ პერიოდში დაახლოებით 573 000 WordPress საიტი დაზარალდა. ყველაზე ხშირად სამიზნედ აღებულ ხარვეზებს შორის იყო CVE-2024-28000 LiteSpeed Cache-ში, CVE-2019-9879 WPGraphQL-ში, CVE-2016-15042 Frontend File Manager-ში, CVE-2023-28121 WooCommerce Payments-ში და CVE-2025-3102 SureTriggers-ში. შემტევი IP-ების უმრავლესობა აშშ-დან იყო, მას მოჰყვება გერმანია, ჩეხეთი, ავსტრალია, ნორვეგია, საფრანგეთი, უკრაინა, ნიდერლანდები, შვეიცარია და ბრაზილია.

წყაროები: The Hacker News