Зловмисники використовують вразливість Bricksforge з CVSS 10,0 для RCE без авторизації в WordPress

Вразливість Bricksforge активно використовується

За даними Patchstack, зловмисники активно використовують вразливість максимальної тяжкості в плагіні Bricksforge для WordPress. Оцінка CVSS відомої як CVE-2026-85097 вразливості становить 10,0, і вона дозволяє зловмиснику без авторизації завантажити та виконати довільний PHP-код на незахищених сайтах, тобто здійснити виконання віддаленого коду. Загроза стосується версій Bricksforge до 3.1.8 включно, а виправлення доступне у 3.1.8.10.

Patchstack зафіксував спроби атак на вразливість 7 жовтня 2026 року о 21:47 за UTC. Bricksforge рекламується як «швейцарський ніж» для Bricks — інструменту візуального конструювання сайтів для WordPress, який підтримує анімації, розширені форми та відеопослідовності зі скролом. Користувачам рекомендовано оновити плагін до останньої версії (4.0.1), щоб зменшити ризик. Власникам сайтів також радять перевірити запити на ендпоінті „/wp-json/bricksforge/v1/form_submit", які містять параметр „temporaryFileUploads", а також повторні відправлення форм та несподівані PHP-файли у теці „/wp-content/uploads/bricksforge/tmp/".

Як працює експлуатація

Причиною вразливості є недостатня валідація поля URL у параметрі 'temporaryFileUploads' під час відправлення форми. Bricksforge перевіряє MIME-тип файлу під час першого завантаження, однак при подальшій відправці форми довіряє метаданим файлу, наданому клієнтом, і не перевіряє поле 'url'.

Зловмисник може використати це у чотири кроки: запити дійсний nonce з неавторизованого AJAX-ендпоінту 'bricksforge_regenerate_nonce', завантажити GIF/PHP-поліглот, який проходить перевірку MIME, відправити форму, де адреса 'file' вказує на валідне зображення, а 'url' закінчується розширенням PHP, і при запиті до файлу викликати виконання вбудованого коду. За даними Wordfence, зловмисники для обходу фільтрації використовують альтернативні розширення PHP, такі як .php5, .php7 або .phtml, зміну регістру, наприклад .PHP або .pHp, та зашифровані розширення.

Зафіксовані атаки були спрямовані на ендпоінт відправлення форми REST API „/wp-json/bricksforge/v1/form_submit" або на ендпоінт „/wp-admin/admin-ajax.php" з дією „bricksforge_form_submit". Patchstack зафіксував активність з 63 унікальних вихідних IP, з яких шість генерували приблизно 46% усіх запитів. Виділилися два кластери: 44 IP надіслали 56 запитів з ідентичними payload за секунди, а три IP перевірили 25 варіацій розширень PHP для одного й того ж файлу, що вказує на автоматизовану експлуатацію через ротацію проксі.

Пов'язані вразливості плагінів

Діючі особи загрози також використовують вразливості cross-site scripting у WPC Product Bundles for WooCommerce (CVE-2026-93836, CVSS 7,1) та Ninja Forms (CVE-2026-94504, CVSS 7,1), щоб доставити JavaScript payload „x.js", який поширює backdoor-плагін і створює приховані облікові записи адміністратора. Імплант має файловий менеджер без авторизації, створює прихованого адміністратора WordPress і додає magic login URL. Оновлення до версій 8.6.7 для WPC Product Bundles та 3.15.4 для Ninja Forms запобігає подальшій експлуатації, але не усуває вже наявні інфекції.

Тенденції експлуатації WordPress

За даними Wordfence, у другому кварталі 2026 року було опубліковано 2 073 вразливості, пов'язані з WordPress, а кількість вразливостей з високим рівнем загрози зросла на 15,2% порівняно з попереднім кварталом, досягнувши 182. За цей період постраждали приблизно 573 000 сайтів на WordPress. Серед найчастіше атакованих вразливостей були CVE-2024-28000 у LiteSpeed Cache, CVE-2019-9879 у WPGraphQL, CVE-2016-15042 у Frontend File Manager, CVE-2023-28121 у WooCommerce Payments та CVE-2025-3102 у SureTriggers. Більшість атакуючих IP були з США, за ними йдуть Німеччина, Чехія, Австралія, Норвегія, Франція, Україна, Нідерланди, Швейцарія та Бразилія.

Джерела: The Hacker News