Hacker nutzen kritische Schwachstelle im WordPress-Plugin Bricksforge aktiv aus
in einfachen worten
Bricksforge ist ein Zusatzwerkzeug zum Erstellen von WordPress-Websites. Sicherheitsforscher haben festgestellt, dass Hacker über einen schweren Fehler in diesem Plugin in Websites eindringen und das System dazu bringen, schädlichen Code auszuführen, ohne ein Passwort zu benötigen. Der Hersteller des Plugins hat eine korrigierte Version veröffentlicht, und Website-Betreiber werden aufgefordert, sofort zu aktualisieren.
Patchstack berichtete von aktiver Ausnutzung von CVE-2026-85097, einer Schwachstelle mit maximalem Schweregrad (CVSS 10.0) in Bricksforge, einem WordPress-Plugin, das als Toolkit für den Bricks-Website-Builder beworben wird. Die Schwachstelle erlaubt es nicht authentifizierten Angreifern, beliebigen PHP-Code hochzuladen und auszuführen, wodurch sie Remotecodeausführung auf betroffenen Websites erlangen. Betroffen sind Bricksforge-Versionen bis 3.1.8.9; der Entwickler behob das Problem in Version 3.1.8.10, wobei 4.0.1 die aktuellste sichere Version ist.
Laut Patchstack prüft das Plugin beim ersten Upload den MIME-Typ einer Datei, vertraut aber später bei der Formularübermittlung vom Client übermittelten Metadaten, ohne das Feld url innerhalb des Parameters temporaryFileUploads zu validieren. Angreifer nutzen dies aus, indem sie über den nicht authentifizierten Endpunkt bricksforge_regenerate_nonce eine Nonce anfordern, eine GIF/PHP-Polyglot-Datei hochladen, die die MIME-Prüfung besteht, und dann ein Formular übermitteln, bei dem das Feld file auf die validierte Bilddatei verweist, während das Feld url auf eine PHP-Endung endet. Wordfence beschrieb denselben Mechanismus und wies darauf hin, dass der Server den Inhalt der hochgeladenen Datei an dem nach PHP benannten Speicherort ablegt, sodass der eingebettete Code bei Abruf ausgeführt wird.
Patchstack beobachtete erstmals am 7. Oktober 2026 Ausnutzungsversuche, die entweder auf den Bricksforge-REST-API-Endpunkt wp-json/bricksforge/v1/form_submit oder auf admin-ajax.php mit der Aktion bricksforge_form_submit zielten. Angreifer verwenden alternative PHP-Endungen wie .php5, .php7 und .phtml, Groß- und Kleinschreibungsvarianten sowie kodierte Endungen, um Filter zu umgehen. Patchstack identifizierte 63 eindeutige Quell-IP-Adressen (IP Internet Protocol Die Grundregeln des Internets für den Datenversand, mit numerischen Adressen für jedes verbundene Gerät. Vollständige Definition von IP, Internetprotokoll), wobei sechs davon etwa 46 Prozent der Anfragen ausmachten, und beschrieb zwei unterschiedliche Cluster, die auf automatisierte Ausnutzung über Proxys oder verteilte Infrastruktur hindeuten, ohne die Aktivität jedoch einem bestimmten Akteur zuzuschreiben.
Erfolgreiche Ausnutzung kann Angreifern die Übernahme einer WordPress-Website ermöglichen, einschließlich der Installation von Webshells, des Zugriffs auf sensible Daten und der Aufrechterhaltung dauerhaften Zugriffs. Patchstack empfiehlt Website-Betreibern, umgehend zu aktualisieren und Anfragen an den betroffenen Endpunkt auf Parameter temporaryFileUploads, wiederholte Formularübermittlungen und unerwartete PHP-Dateien im tmp-Upload-Verzeichnis von Bricksforge zu überprüfen.
Daneben wies Patchstack auf anhaltenden Missbrauch von Cross-Site-Scripting-Schwachstellen in WPC Product Bundles for WooCommerce und Ninja Forms hin, mit denen eine Payload ausgeliefert wird, die ein Backdoor-Plugin installiert, versteckte Administratorkonten anlegt und eine magische Login-URL einrichtet, die Zugriff mit den Rechten des ursprünglichen Website-Administrators gewährt.