Hacker sfruttano attivamente falla critica nel plugin WordPress Bricksforge
in parole semplici
Bricksforge è uno strumento aggiuntivo per costruire siti WordPress. I ricercatori di sicurezza hanno scoperto che degli hacker stanno violando siti sfruttando un grave bug, ingannando il sistema affinché esegua codice dannoso senza bisogno di una password. Lo sviluppatore del plugin ha pubblicato una versione corretta e ai proprietari dei siti viene chiesto di aggiornare subito.
Patchstack ha segnalato lo sfruttamento attivo di CVE-2026-85097, una vulnerabilità di gravità massima (CVSS 10.0) in Bricksforge, un plugin WordPress descritto come un kit di strumenti per il builder di siti Bricks. La falla consente ad aggressori non autenticati di caricare ed eseguire codice PHP arbitrario, ottenendo l'esecuzione di codice da remoto sui siti vulnerabili. Colpisce le versioni di Bricksforge fino alla 3.1.8.9; lo sviluppatore ha corretto il problema nella versione 3.1.8.10, con la 4.0.1 come ultima release sicura disponibile.
Secondo Patchstack, il plugin controlla il tipo MIME di un file al momento del caricamento iniziale, ma in seguito si fida dei metadati forniti dal client quando viene inviato un modulo, non riuscendo a validare il campo url all'interno del parametro temporaryFileUploads. Gli aggressori sfruttano questo meccanismo richiedendo un nonce dall'endpoint non autenticato bricksforge_regenerate_nonce, caricando un file poliglotta GIF/PHP che supera i controlli MIME, per poi inviare un modulo in cui il campo file punta all'immagine validata ma il campo url termina con un'estensione PHP. Wordfence ha descritto lo stesso meccanismo, notando che il server colloca il contenuto del file caricato nella posizione con nome PHP, permettendo l'esecuzione del codice incorporato quando viene richiesto.
Patchstack ha osservato i primi tentativi di sfruttamento il 7 ottobre 2026, diretti all'endpoint REST API di Bricksforge wp-json/bricksforge/v1/form_submit oppure all'endpoint admin-ajax.php con l'azione bricksforge_form_submit. Gli aggressori usano estensioni PHP alternative come .php5, .php7 e .phtml, variazioni di maiuscole/minuscole ed estensioni codificate per aggirare i filtri. Patchstack ha identificato 63 indirizzi IP protocollo internet Le regole di base di internet per inviare dati, con indirizzi numerici per ogni dispositivo connesso. Definizione completa del termine IP sorgente unici coinvolti, con sei che rappresentano circa il 46% delle richieste, e ha descritto due cluster distinti che suggeriscono uno sfruttamento automatizzato tramite proxy o infrastrutture distribuite, pur senza attribuire l'attività a un autore specifico.
Uno sfruttamento riuscito può permettere agli aggressori di prendere il controllo di un sito WordPress, distribuire web shell, accedere a dati sensibili e mantenere un accesso persistente. Patchstack raccomanda ai proprietari dei siti di aggiornare immediatamente e di controllare le richieste verso l'endpoint interessato La persona i cui dati personali vengono trattati, di solito l'assegnatario nella scheda di un dominio. Definizione completa del termine interessato alla ricerca di parametri temporaryFileUploads, invii ripetuti di moduli e file PHP inattesi nella directory temporanea di upload di bricksforge.
Separatamente, Patchstack ha segnalato un abuso continuo di falle di cross-site scripting in WPC Product Bundles for WooCommerce e Ninja Forms per distribuire un payload che installa un plugin backdoor, crea account amministratore nascosti e imposta un URL di accesso magico che garantisce l'accesso come amministratore originale del sito.