Хакеры активно эксплуатируют критическую уязвимость в плагине Bricksforge для WordPress
простыми словами
Bricksforge — это дополнение для создания сайтов на WordPress. Специалисты по безопасности обнаружили, что хакеры взламывают сайты через серьезную уязвимость в этом плагине, заставляя систему выполнять вредоносный код без пароля. Разработчик плагина уже выпустил исправленную версию, и владельцам сайтов рекомендуют немедленно обновиться.
Patchstack сообщила об активной эксплуатации уязвимости CVE-2026-85097 максимальной степени опасности (CVSS 10.0) в Bricksforge — плагине для WordPress, который позиционируется как набор инструментов для конструктора сайтов Bricks. Уязвимость позволяет неавторизованным злоумышленникам загружать и выполнять произвольный PHP-код, обеспечивая удаленное выполнение кода на уязвимых сайтах. Она затрагивает версии Bricksforge до 3.1.8.9 включительно; разработчик устранил ее в версии 3.1.8.10, а последней безопасной версией является 4.0.1.
По данным Patchstack, плагин проверяет MIME-тип файла при первоначальной загрузке, но впоследствии доверяет метаданным, предоставленным клиентом при отправке формы, не проверяя поле url внутри параметра temporaryFileUploads. Злоумышленники используют это, запрашивая nonce у неавторизованной конечной точки bricksforge_regenerate_nonce, загружая полиглот-файл GIF/PHP, который проходит проверку MIME, а затем отправляя форму, где поле file указывает на проверенное изображение, а поле url заканчивается расширением PHP. Wordfence описала тот же механизм, отметив, что сервер помещает содержимое загруженного файла по пути с именем PHP-файла, что позволяет внедренному коду выполняться при запросе.
Patchstack впервые зафиксировала попытки эксплуатации 7 октября 2026 года, нацеленные либо на конечную точку REST API Bricksforge wp-json/bricksforge/v1/form_submit, либо на admin-ajax.php с действием bricksforge_form_submit. Злоумышленники используют альтернативные расширения PHP, такие как .php5, .php7 и .phtml, вариации регистра символов и закодированные расширения, чтобы обойти фильтрацию. Patchstack выявила 63 уникальных исходных IP-адреса, участвовавших в атаках, при этом на долю шести из них пришлось около 46 процентов запросов, и описала два отдельных кластера, указывающих на автоматизированную эксплуатацию через прокси или распределенную инфраструктуру, хотя и воздержалась от привязки активности к конкретному злоумышленнику.
Успешная эксплуатация позволяет злоумышленникам захватить контроль над сайтом WordPress, развернуть веб-шеллы, получить доступ к конфиденциальным данным и закрепиться в системе на постоянной основе. Patchstack рекомендует владельцам сайтов немедленно обновиться и проверить запросы к уязвимой конечной точке на наличие параметров temporaryFileUploads, повторяющихся отправок форм и неожиданных PHP-файлов в каталоге временной загрузки bricksforge.
Отдельно Patchstack отметила продолжающуюся эксплуатацию уязвимостей межсайтового скриптинга в плагинах WPC Product Bundles for WooCommerce и Ninja Forms для доставки полезной нагрузки, которая устанавливает бэкдор-плагин, создает скрытые учетные записи администратора и настраивает «магическую» ссылку для входа, предоставляющую доступ от имени первоначального администратора сайта.