Эксплуатируется критическая уязвимость Bricksforge, позволяющая выполнить код на WordPress

Критическая уязвимость CVE-2026-85097 эксплуатируется в Bricksforge

Плагин Bricksforge для WordPress подвергся активной эксплуатации. Уязвимость получила максимальную оценку CVSS 10.0. Она позволяет злоумышленникам без аутентификации загружать и выполнять произвольный PHP-код на сайтах. Эксплуатация приводит к удаленному выполнению кода (RCE). Уязвимость затрагивает версии Bricksforge до 3.1.8.9 включительно. Исправление доступно в версии 3.1.8.10.

Bricksforge расширяет возможности конструктора сайтов Bricks

Bricksforge позиционируется как многофункциональный инструмент для WordPress. Он дополняет визуальный конструктор Bricks. Плагин добавляет поддержку анимаций, расширенных форм и видеопоследовательностей. Компания Patchstack зафиксировала попытки эксплуатации уязвимости 7 октября 2026 года. Атаки нацелены на REST API Bricksforge и эндпоинт "/wp-admin/admin-ajax.php".

Уязвимость CVE-2026-85097 затрагивает версии до 3.1.8.9

Уязвимость возникает из-за недостаточной валидации поля URL в параметре "temporaryFileUploads" при отправке формы. Злоумышленник получает валидный nonce через AJAX-эндпоинт "bricksforge_regenerate_nonce". Затем загружается файл-полиглот GIF/PHP, который проходит проверку MIME-типа. После этого отправляется форма с указанием пути к файлу в директории загрузки, но с URL-адресом, заканчивающимся на .php. Bricksforge доверяет метаданным клиента и помещает содержимое файла по указанному PHP-пути. Это приводит к выполнению внедренного кода при обращении к файлу. Для обхода фильтрации расширений злоумышленники используют альтернативные расширения PHP, манипуляции с регистром и кодирование. Два кластера атак указывают на автоматизированную эксплуатацию через ротирующиеся прокси или распределенную инфраструктуру. Активность зафиксирована с 63 уникальных IP-адресов.

Обновиться до 3.1.8.10 или провести аудит

Пользователям рекомендуется обновить плагин Bricksforge до последней версии 3.1.8.10. Также следует провести аудит входящих запросов к эндпоинту "/wp-json/bricksforge/v1/form_submit". Необходимо проверять наличие параметра "temporaryFileUploads", повторяющиеся отправки форм и неожиданные PHP-файлы в директории "/wp-content/uploads/bricksforge/tmp/". Вторая половина 2026 года показала рост числа уязвимостей в WordPress. Всего было опубликовано 2073 уязвимости, из них 182 имели высокий уровень угрозы. Около 573 000 сайтов на WordPress были скомпрометированы.