---
id: "a237fa0f-4a84-4d23-95ee-8293d6ca2fbf"
kind: "link"
title: "Hackers exploram ativamente falha crítica no plugin Bricksforge para WordPress"
language: "pt-BR"
section: "security"
date: "2026-10-12T09:44:44Z"
updated: "2026-10-12T09:44:44Z"
canonical: "https://tldlog.com/pt/l/hackers-exploram-ativamente-falha-critica-plugin-bricksforge/"
origin: "reviewed"
master: "https://tldlog.com/l/hackers-actively-exploit-maximum-severity-flaw-bricksforge/"
translations:
  en: "https://tldlog.com/l/hackers-actively-exploit-maximum-severity-flaw-bricksforge/"
  es: "https://tldlog.com/es/l/hackers-explotan-activamente-falla-critica-plugin/"
  de: "https://tldlog.com/de/l/hacker-nutzen-kritische-schwachstelle-wordpress-plugin/"
  fr: "https://tldlog.com/fr/l/pirates-exploitent-faille-critique-plugin-wordpress/"
  it: "https://tldlog.com/it/l/hacker-sfruttano-attivamente-falla-critica-plugin-wordpress/"
  ru: "https://tldlog.com/ru/l/khakery-aktivno-ekspluatiruyut-kriticheskuyu-uyazvimost/"
  zh-Hans: "https://tldlog.com/zh/l/bricksforge-loudong-bei-liyong/"
source:
  name: "thehackernews.com"
  url: "https://thehackernews.com/2026/10/attackers-exploit-cvss-100-bricksforge.html?m=1"
  language: "en"
  date: "2026-10-08T12:40:00Z"
---

# Hackers exploram ativamente falha crítica no plugin Bricksforge para WordPress

## em linguagem simples

Bricksforge é uma ferramenta complementar para construir sites no WordPress. Pesquisadores de segurança descobriram que hackers estão invadindo sites usando uma falha grave nele, enganando o sistema para que execute código malicioso sem precisar de senha. O fabricante do plugin lançou uma versão corrigida, e donos de sites devem atualizar imediatamente.

A Patchstack relatou exploração ativa da CVE-2026-85097, uma vulnerabilidade de severidade máxima (CVSS 10.0) no Bricksforge, um plugin do WordPress apresentado como um kit de ferramentas para o construtor de sites Bricks. A falha permite que atacantes não autenticados enviem e executem código PHP arbitrário, obtendo execução remota de código em sites vulneráveis. Ela afeta as versões do Bricksforge até 3.1.8.9; o desenvolvedor corrigiu o problema na versão 3.1.8.10, sendo a 4.0.1 a versão segura mais recente.

Segundo a Patchstack, o plugin verifica o tipo MIME de um arquivo no envio inicial, mas depois confia em metadados fornecidos pelo cliente quando um formulário é enviado, deixando de validar o campo url dentro do parâmetro temporaryFileUploads. Os atacantes exploram isso solicitando um nonce no endpoint não autenticado bricksforge\_regenerate\_nonce, enviando um arquivo poliglota GIF/PHP que passa nas verificações MIME e, em seguida, submetendo um formulário em que o campo file aponta para a imagem validada, mas o campo url termina em uma extensão PHP. A Wordfence descreveu o mesmo mecanismo, observando que o servidor coloca o conteúdo do arquivo enviado no local com nome PHP, permitindo que o código embutido seja executado quando solicitado.

A Patchstack observou pela primeira vez tentativas de exploração em 7 de outubro de 2026, visando o endpoint da API REST do Bricksforge wp-json/bricksforge/v1/form\_submit ou o endpoint admin-ajax.php com a ação bricksforge\_form\_submit. Os atacantes usam extensões PHP alternativas, como .php5, .php7 e .phtml, variações de maiúsculas e minúsculas, e extensões codificadas para driblar os filtros. A Patchstack identificou 63 endereços IP de origem únicos envolvidos, sendo que seis deles foram responsáveis por cerca de 46% das requisições, e descreveu dois grupos distintos que sugerem exploração automatizada por meio de proxies ou infraestrutura distribuída, embora não tenha atribuído a atividade a um agente específico.

Uma exploração bem-sucedida pode permitir que atacantes assumam o controle de um site WordPress, instalem web shells, acessem dados sensíveis e mantenham acesso persistente. A Patchstack recomenda que os administradores de sites atualizem imediatamente e auditem as requisições ao endpoint afetado em busca de parâmetros temporaryFileUploads, envios repetidos de formulários e arquivos PHP inesperados no diretório tmp de upload do bricksforge.

Separadamente, a Patchstack observou abuso contínuo de falhas de cross-site scripting no WPC Product Bundles for WooCommerce e no Ninja Forms para entregar uma carga maliciosa que instala um plugin backdoor, cria contas de administrador ocultas e configura uma URL de login mágico que concede acesso como o administrador original do site.

Fonte: [thehackernews.com](https://thehackernews.com/2026/10/attackers-exploit-cvss-100-bricksforge.html?m=1)

## outras fontes

- [patchstack.com](https://patchstack.com/articles/critical-unauthenticated-arbitrary-file-upload-vulnerability-exploited-in-bricksforge-plugin/) (em inglês)