Уязвимость Bricksforge для WordPress с оценкой 10 уже используют в атаках
Ошибка позволяет неавторизованному злоумышленнику загрузить и выполнить произвольный PHP-код на уязвимом сайте. Исправление выпущено: владельцам сайтов рекомендуют обновить плагин до актуальной версии 4.0.1.
В плагине Bricksforge для WordPress обнаружена критическая уязвимость CVE-2026-85097 с оценкой CVSS 10,0. По данным Patchstack, её уже эксплуатируют в реальных атаках: неавторизованный злоумышленник может добиться выполнения произвольного PHP-кода на сервере.
Проблема затрагивает версии Bricksforge вплоть до 3.1.8.9. Исправление появилось в версии 3.1.8.10; в материале также рекомендуется установить актуальную на момент публикации версию 4.0.1. Patchstack зафиксировала попытки эксплуатации 7 октября 2026 года в 21:47 UTC.
Уязвимость связана с обработкой загрузок из форм. При первичной загрузке Bricksforge проверяет MIME-тип файла, однако при отправке формы доверяет метаданным, полученным от клиента. В частности, не проверяется поле URL в параметре temporaryFileUploads.
Как описывают Patchstack и Wordfence, атакующий может получить действующий nonce через доступный без авторизации AJAX-обработчик, загрузить файл, одновременно являющийся GIF-изображением и содержащий PHP-код, а затем передать в форме подменённые метаданные. Сервер при этом использует путь к прошедшему проверку изображению, но сохраняет его по URL с PHP-расширением. После обращения к такому файлу внедрённый код выполняется на сервере.
В наблюдаемых атаках использовались REST-адрес /wp-json/bricksforge/v1/form_submit и обработчик /wp-admin/admin-ajax.php с действием bricksforge_form_submit. Злоумышленники пробовали обходить фильтрацию расширений через варианты .php5, .php7 и .phtml, изменение регистра букв и URL-кодирование.
Patchstack зарегистрировала активность с 63 уникальных IP-адресов. В одном из кластеров 44 адреса отправили 56 одинаковых запросов почти одновременно, в другом три адреса проверили 25 вариантов расширений и кодировок. Исследователи считают, что это указывает на автоматизированную эксплуатацию через распределённую инфраструктуру, но не позволяет приписать активность конкретной группе.
Владельцам сайтов советуют проверить обращения к endpoint формы Bricksforge с параметром temporaryFileUploads, повторные отправки форм и неожиданные PHP-файлы в каталоге /wp-content/uploads/bricksforge/tmp/.