Saldırganlar, WordPress'te Yetkisiz RCE için CVSS 10.0 Bricksforge Açığından Yararlanıyor

Bricksforge Açığı Aktif Olarak Kullanılıyor

Patchstack'e göre, saldırganlar WordPress'in Bricksforge eklentisindeki maksimum şiddetli açığı aktif olarak kullanıyor. CVE-2026-85097 olarak bilinen açığın CVSS puanı 10,0'dır ve saldırgana kimlik doğrulamasız, güvenlik açığı bulunan sitelerde rastgele PHP kodu yükleyip çalıştırmasına, yani uzaktan kod çalıştırmasına olanak tanır. Tehlike, Bricksforge 3.1.8 dahil olmak üzere sürümleri etkiler; yama ise 3.1.8.10'da mevcut.

Patchstack, açığa yönelik saldırı girişimlerini 7 Ekim 2026'da 21:47 UTC'de kaydetti. Bricksforge, Bricks için 'İsviçre çakısı' olarak tanımlanıyor; WordPress'in görsel site oluşturma aracı, animasyonları, gelişmiş formları ve kaydırma ile video dizilerini destekliyor. Kullanıcılara riski azaltmak için eklentiyi en güncel sürüme (4.0.1) yükseltmeleri öneriliyor. Site sahipleri ise '/wp-json/bricksforge/v1/form_submit' uç noktasına gelen, 'temporaryFileUploads' parametresini içeren istekleri, yinelenen form gönderimlerini ve '/wp-content/uploads/bricksforge/tmp/' dizinindeki beklenmedik PHP dosyalarını kontrol etmeleri tavsiye ediliyor.

İstismar Nasıl Çalışır?

Açığın nedeni, form gönderiminde 'temporaryFileUploads' parametresindeki URL alanının yetersiz doğrulanmasıdır. Bricksforge dosyanın MIME türünü ilk yükleme sırasında kontrol eder, ancak formun sonraki gönderimlerinde istemcinin sağladığı dosya meta verilerine güvenir ve 'url' alanını doğrulamaz.

Saldırgan bunu dört adımda kullanabilir: yetkisiz 'bricksforge_regenerate_nonce' AJAX uç noktasından geçerli bir nonce isteyebilir, MIME kontrolünden geçen bir GIF/PHP glot yükleyebilir, 'file' adresinin doğrulanmaya uygun bir resime işaret ettiği ve 'url' alanının PHP uzantısıyla bittiği bir form gönderebilir ve dosya istendiğinde gömülü kodun yürütülmesini tetikleyebilir. Wordfence'e göre, saldırganları filtreleri atlatmak için .php5, .php7 veya .phtml gibi alternatif PHP uzantıları, büyük harf kullanımı (.PHP veya .pHp) ve şifrelenmiş uzantılar kullanırlar.

Kaydedilen saldırılar, REST API'nin '/wp-json/bricksforge/v1/form_submit' uç noktasına veya '/wp-admin/admin-ajax.php' uç noktasındaki 'bricksforge_form_submit' eylemine yöneliktir. Patchstack etkinliği 63 benzersiz kaynak IP'den kaydetti; bunların yaklaşık %46'sı altı IP'den gelmiştir. İki küme öne çıkmıştır: 44 IP, saniyeler içinde aynı yükleri içeren 56 istek gönderdi; üç IP ise aynı zamanlı dosya karşıtı PHP uzantılarının 25 varyasyonunu denedi. Bu, dönen proxy'lerle otomatikleştirilmiş işareti işaret eder.

İlgili Eklenti Açıkları

Tehdit aktörleri ayrıca, WPC Product Bundles for WooCommerce'da (CVE-2026-93836, CVSS 7,1) ve Ninja Forms'da (CVE-2026-94504, CVSS 7,1) bulunan cross-site scripting açıklarından, 'x.js' JavaScript yükünü yaymak için yararlanıyor; bu yük bir arka kapı eklentisi yayıyor ve sahte yönetici hesapları oluşturuyor. İmplantın kimlik doğrulamasız bir dosya yöneticisi var, gizli bir WordPress yöneticisi oluşturuyor ve sihirli giriş URL'si ekliyor. WPC Product Bundles 8.6.7 ve Ninja Forms 3.15.4 sürümlerine yapılan güncelleme sonraki istismarı engeller, ancak halihazırda var olan enfeksiyonu temizlemez.

WordPress İstismar Eğilimleri

Wordfence verilerine göre, 2026'nın ikinci çeyreğinde WordPress ile ilişkili 2.073 açık yayınlandı; yüksek riskli açıkların sayısi önceki çeyreğe göre %15,2 artarak 182'ye ulaştı. Bu dönemde yaklaşık 573.000 WordPress sitesi etkilendi. En sık hedef alınan açıklar arasında LiteSpeed Cache'de CVE-2024-28000, WPGraphQL'de CVE-2019-9879, Frontend File Manager'da CVE-2016-15042, WooCommerce Payments'de CVE-2023-28121 ve SureTriggers'de CVE-2025-3102 bulunuyordu. Saldıran IP'lerin büyük çoğunluğu ABD'den geliyordu; ardından Almanya, Çekya, Avustralya, Norveç, Fransa, Ukrayna, Hollanda, İsviçre ve Brezilya geliyordu.

Kaynaklar: The Hacker News