Hackers explotan activamente una falla crítica en el plugin Bricksforge de WordPress
en claro
Bricksforge es una herramienta complementaria para crear sitios web en WordPress. Investigadores de seguridad descubrieron que hackers están entrando en sitios web aprovechando un grave fallo en este plugin, que engaña al sistema para que ejecute código dañino sin necesitar contraseña. El creador del plugin ha publicado una versión corregida, y se aconseja a los propietarios de sitios que actualicen de inmediato.
Patchstack informó de la explotación activa de CVE-2026-85097, una vulnerabilidad de máxima gravedad (CVSS 10.0) en Bricksforge, un plugin de WordPress presentado como un conjunto de herramientas para el creador de sitios Bricks. El fallo permite a atacantes no autenticados subir y ejecutar código PHP arbitrario, lo que les otorga ejecución remota de código en los sitios vulnerables. Afecta a las versiones de Bricksforge hasta la 3.1.8.9; el desarrollador lo corrigió en la versión 3.1.8.10, siendo 4.0.1 la última versión segura disponible.
Según Patchstack, el plugin comprueba el tipo MIME de un archivo en la subida inicial, pero después confía en los metadatos suministrados por el cliente cuando se envía un formulario, sin validar el campo url dentro del parámetro temporaryFileUploads. Los atacantes explotan esto solicitando un nonce desde el endpoint no autenticado bricksforge_regenerate_nonce, subiendo un archivo polyglot GIF/PHP que supera las comprobaciones MIME, y luego enviando un formulario donde el campo file apunta a la imagen validada pero el campo url termina en una extensión PHP. Wordfence describió el mismo mecanismo, señalando que el servidor coloca el contenido del archivo subido en la ubicación con nombre PHP, permitiendo que el código incrustado se ejecute al solicitarlo.
Patchstack observó por primera vez intentos de explotación el 7 de octubre de 2026, dirigidos al endpoint de la API REST de Bricksforge wp-json/bricksforge/v1/form_submit o al endpoint admin-ajax.php con la acción bricksforge_form_submit. Los atacantes usan extensiones PHP alternativas como .php5, .php7 y .phtml, variaciones de mayúsculas y minúsculas, y extensiones codificadas para evitar los filtros. Patchstack identificó 63 direcciones IP protocolo de Internet Reglas básicas de Internet para enviar datos, con direcciones numéricas para cada dispositivo conectado. Definición completa de IP de origen únicas implicadas, con seis de ellas responsables de alrededor del 46 por ciento de las solicitudes, y describió dos grupos distintos que sugieren una explotación automatizada mediante proxies o infraestructura distribuida, aunque no llegó a atribuir la actividad a un actor concreto.
Una explotación exitosa puede permitir a los atacantes tomar el control de un sitio WordPress, desplegar shells web, acceder a datos sensibles y mantener acceso persistente. Patchstack recomienda a los propietarios de sitios actualizar de inmediato y auditar las solicitudes al endpoint afectado en busca de parámetros temporaryFileUploads, envíos de formularios repetidos y archivos PHP inesperados en el directorio temporal de subidas de bricksforge.
Por separado, Patchstack señaló el abuso continuado de fallos de cross-site scripting en WPC Product Bundles for WooCommerce y Ninja Forms para distribuir una carga que instala un plugin de puerta trasera, crea cuentas de administrador ocultas y configura una URL de inicio de sesión mágica que otorga acceso como el administrador original del sitio.