Критическая уязвимость плагина Bricksforge для WordPress эксплуатируется в дикой природе

Компания Patchstack сообщила об активной эксплуатации критической уязвимости в плагине Bricksforge для WordPress. Брешь CVE-2026-85097 получила максимально возможную оценку опасности — CVSS 10.0 — и позволяет неавторизованным атакующим загружать и запускать произвольный PHP-код, то есть добиваться удалённого выполнения кода (RCE).

Bricksforge позиционируется как «швейцарский нож» для визуального конструктора сайтов Bricks: анимации, продвинутые формы, прокручиваемые видеопоследовательности. Уязвимости подвержены версии вплоть до 3.1.8.9 включительно; исправление вышло в 3.1.8.10, а пользователям рекомендуют обновиться до актуальной 4.0.1.

В чём суть бреши

При первичной загрузке файла плагин корректно проверяет его MIME-тип. Однако при последующей отправке формы он безоговорочно доверяет метаданным, которые присылает клиент, — и, в частности, не проверяет поле url внутри параметра temporaryFileUploads.

Атака складывается из четырёх шагов. Сначала злоумышленник запрашивает действительный nonce через неавторизованный AJAX-эндпоинт bricksforge_regenerate_nonce. Затем загружает «полиглот» — файл, который одновременно является корректным GIF-изображением и содержит PHP-код; он проходит проверку MIME и попадает во временный каталог. После этого отправляется форма, где поле file указывает на проверенное изображение, а поле url оканчивается на расширение .php. Плагин доверяет этим метаданным и сохраняет содержимое файла по PHP-пути — при обращении к нему встроенный код выполняется.

Успешная эксплуатация даёт атакующему полный контроль над сайтом: установку веб-шеллов, чтение конфиденциальных данных и закрепление в системе.

Признаки атак

Patchstack зафиксировал первые попытки эксплуатации 7 октября 2026 года в 21:47 UTC. Активность велась с 63 уникальных IP-адресов, причём шесть из них дали около 46% всех запросов. Чтобы обойти фильтрацию по расширению, злоумышленники используют альтернативные расширения (.php5, .php7, .phtml), игру с регистром (.PHP, .pHp) и кодированные варианты. Один кластер из 44 адресов за секунды отправил 56 идентичных запросов, другой перебрал 25 вариаций расширений против одного файла — признаки автоматизированных атак через ротируемые прокси.

Владельцам сайтов советуют отслеживать запросы к эндпоинту /wp-json/bricksforge/v1/form_submit с параметром temporaryFileUploads, повторные отправки форм и появление неожиданных PHP-файлов в каталоге /wp-content/uploads/bricksforge/tmp/.

По данным Wordfence, во втором квартале 2026 года было опубликовано 2073 уязвимости, связанные с WordPress, а скомпрометировано оказалось около 573 тысяч сайтов — так что проблема Bricksforge лишь часть общей картины.

Источник: The Hacker News