Hackers exploram ativamente falha crítica no plugin Bricksforge para WordPress
em linguagem simples
Bricksforge é uma ferramenta complementar para construir sites no WordPress. Pesquisadores de segurança descobriram que hackers estão invadindo sites usando uma falha grave nele, enganando o sistema para que execute código malicioso sem precisar de senha. O fabricante do plugin lançou uma versão corrigida, e donos de sites devem atualizar imediatamente.
A Patchstack relatou exploração ativa da CVE-2026-85097, uma vulnerabilidade de severidade máxima (CVSS 10.0) no Bricksforge, um plugin do WordPress apresentado como um kit de ferramentas para o construtor de sites Bricks. A falha permite que atacantes não autenticados enviem e executem código PHP arbitrário, obtendo execução remota de código em sites vulneráveis. Ela afeta as versões do Bricksforge até 3.1.8.9; o desenvolvedor corrigiu o problema na versão 3.1.8.10, sendo a 4.0.1 a versão segura mais recente.
Segundo a Patchstack, o plugin verifica o tipo MIME de um arquivo no envio inicial, mas depois confia em metadados fornecidos pelo cliente quando um formulário é enviado, deixando de validar o campo url dentro do parâmetro temporaryFileUploads. Os atacantes exploram isso solicitando um nonce no endpoint não autenticado bricksforge_regenerate_nonce, enviando um arquivo poliglota GIF/PHP que passa nas verificações MIME e, em seguida, submetendo um formulário em que o campo file aponta para a imagem validada, mas o campo url termina em uma extensão PHP. A Wordfence descreveu o mesmo mecanismo, observando que o servidor coloca o conteúdo do arquivo enviado no local com nome PHP, permitindo que o código embutido seja executado quando solicitado.
A Patchstack observou pela primeira vez tentativas de exploração em 7 de outubro de 2026, visando o endpoint da API REST do Bricksforge wp-json/bricksforge/v1/form_submit ou o endpoint admin-ajax.php com a ação bricksforge_form_submit. Os atacantes usam extensões PHP alternativas, como .php5, .php7 e .phtml, variações de maiúsculas e minúsculas, e extensões codificadas para driblar os filtros. A Patchstack identificou 63 endereços IP protocolo de internet Regras básicas da internet para enviar dados, com endereços numéricos para cada dispositivo conectado. Definição completa de IP de origem únicos envolvidos, sendo que seis deles foram responsáveis por cerca de 46% das requisições, e descreveu dois grupos distintos que sugerem exploração automatizada por meio de proxies ou infraestrutura distribuída, embora não tenha atribuído a atividade a um agente específico.
Uma exploração bem-sucedida pode permitir que atacantes assumam o controle de um site WordPress, instalem web shells, acessem dados sensíveis e mantenham acesso persistente. A Patchstack recomenda que os administradores de sites atualizem imediatamente e auditem as requisições ao endpoint afetado em busca de parâmetros temporaryFileUploads, envios repetidos de formulários e arquivos PHP inesperados no diretório tmp de upload do bricksforge.
Separadamente, a Patchstack observou abuso contínuo de falhas de cross-site scripting no WPC Product Bundles for WooCommerce e no Ninja Forms para entregar uma carga maliciosa que instala um plugin backdoor, cria contas de administrador ocultas e configura uma URL de login mágico que concede acesso como o administrador original do site.