Des pirates exploitent une faille critique du plugin WordPress Bricksforge
en clair
Bricksforge est un outil complémentaire pour créer des sites WordPress. Des chercheurs en sécurité ont découvert que des pirates s'introduisent dans des sites grâce à une faille grave, en faisant exécuter du code malveillant sans avoir besoin de mot de passe. L'éditeur du plugin a publié une version corrigée, et les propriétaires de sites sont invités à mettre à jour immédiatement.
Patchstack a signalé une exploitation active de CVE-2026-85097, une vulnérabilité de gravité maximale (CVSS 10,0) dans Bricksforge, un plugin WordPress présenté comme une boîte à outils pour le constructeur de sites Bricks. La faille permet à des attaquants non authentifiés d'envoyer et d'exécuter du code PHP arbitraire, leur offrant une exécution de code à distance sur les sites vulnérables. Elle touche les versions de Bricksforge jusqu'à 3.1.8.9 ; le développeur l'a corrigée dans la version 3.1.8.10, la version 4.0.1 étant la dernière version sûre.
Selon Patchstack, le plugin vérifie le type MIME d'un fichier lors de l'envoi initial mais fait ensuite confiance aux métadonnées fournies par le client lors de la soumission d'un formulaire, sans valider le champ url à l'intérieur du paramètre temporaryFileUploads. Les attaquants exploitent cela en demandant un nonce auprès du point d'accès non authentifié bricksforge_regenerate_nonce, en envoyant un fichier polyglotte GIF/PHP qui passe les vérifications MIME, puis en soumettant un formulaire où le champ file pointe vers l'image validée mais où le champ url se termine par une extension PHP. Wordfence a décrit le même mécanisme, notant que le serveur place le contenu du fichier envoyé à l'emplacement nommé en PHP, permettant l'exécution du code intégré lorsqu'il est demandé.
Patchstack a observé les premières tentatives d'exploitation le 7 octobre 2026, ciblant soit le point d'accès API REST de Bricksforge wp-json/bricksforge/v1/form_submit, soit le point d'accès admin-ajax.php avec l'action bricksforge_form_submit. Les attaquants utilisent des extensions PHP alternatives comme .php5, .php7 et .phtml, des variations de casse et des extensions encodées pour contourner les filtres. Patchstack a identifié 63 adresses IP protocole Internet Règles de base d'Internet pour l'envoi de données, avec une adresse numérique pour chaque appareil connecté. Définition complète du terme IP sources uniques impliquées, dont six représentant environ 46 % des requêtes, et a décrit deux groupes distincts suggérant une exploitation automatisée via des proxys ou une infrastructure distribuée, sans toutefois attribuer l'activité à un acteur précis.
Une exploitation réussie peut permettre à des attaquants de prendre le contrôle d'un site WordPress, de déployer des web shells, d'accéder à des données sensibles et de maintenir un accès persistant. Patchstack recommande aux propriétaires de sites de mettre à jour immédiatement et d'examiner les requêtes vers le point d'accès concerné à la recherche de paramètres temporaryFileUploads, de soumissions de formulaires répétées et de fichiers PHP inattendus dans le répertoire temporaire d'envoi de Bricksforge.
Par ailleurs, Patchstack a signalé l'exploitation continue de failles de script intersite dans WPC Product Bundles for WooCommerce et Ninja Forms pour diffuser une charge utile qui installe un plugin de porte dérobée, crée des comptes administrateur cachés et met en place une URL de connexion magique donnant accès au compte de l'administrateur d'origine du site.