1. Een kritieke beveiligingskwetsbaarheid, CVE-2026-85097, is ontdekt in de Bricksforge WordPress-plugin, die willekeurige PHP-code-uitvoering mogelijk maakt. Deze kwetsbaarheid heeft een maximale CVSS-score van 10.0 en treft Bricksforge-versies tot en met 3.1.8.9.
2. Bricksforge is een extensie voor Bricks Builder en biedt functies zoals geavanceerde formulieren, animaties en sitebeheer.
3. De kwetsbaarheid concentreert zich op het formulieruploadproces van Bricksforge, waarbij aanvallers een kwetsbaarheid misbruiken in de validatie van het URL-veld van tijdelijk geüploade bestanden.
4. Aanvallers kunnen een bestand uploaden dat ogenschijnlijk een GIF is, maar eigenlijke PHP-code bevat. Dit bestand doorstaat de initiële controle en wordt in de tijdelijke uploadmap geplaatst.
5. Een speciaal geconstrueerde formulierinzending koppelt het serverpad van dit bestand aan een doel-URL die eindigt op een PHP-extensie.
6. Bricksforge verwerkt deze gegevens, waarna de inhoud van het bestand naar de PHP-bestemming wordt geschreven. Wanneer het resulterende bestand wordt opgevraagd, voert de server de verborgen code uit.
7. Dit proces stelt aanvallers in staat om web shells te installeren, website-inhoud te wijzigen, gevoelige gegevens te lezen of blijvende toegang tot de website te verkrijgen.
8. De aanval maakt ook gebruik van de publiek toegankelijke bricksforge_regenerate_nonce AJAX-actie om een geldig request token te verkrijgen. Dit staat los van een eerdere kwetsbaarheid voor remote code execution in Bricks Builder.
9. Bijna alle waargenomen exploitatiepogingen, die op 7 oktober 2026 om 21:47:17 UTC begonnen, richtten zich op het eindpunt /wp-json/bricksforge/v1/form_submit. Eén poging gebruikte /wp-admin/admin-ajax.php met de bricksforge_form_submit actie.
10. In 95% van de verzoeken eindigde het serverpad in .gif of .png, vaak gekoppeld aan een PHP-doel-URL. Aanvallers hebben verschillende extensies getest, zoals .php5, .php8 en .phtml, en hebben variaties in hoofdletters en gecodeerde bestandsnamen gebruikt. Er werden ook pogingen gedaan om login_admin_*.php-bestanden buiten de tijdelijke map te plaatsen, in reguliere WordPress-uploadmappen.
11. Er werden 63 bron-IP-adressen geregistreerd. Een cluster van 44 IP-adressen verstuurde 56 identieke verzoeken binnen enkele seconden, terwijl een ander cluster van drie IP-adressen 25 verschillende extensie- en coderingvariaties testte. Deze patronen duiden op geautomatiseerde activiteit met gedistribueerde infrastructuur.
12. De gecorrigeerde versie van Bricksforge is 3.1.8.10. Beheerders wordt aangeraden getroffen installaties onmiddellijk te updaten naar deze versie of later.
13. Het vendor changelog vermeldt ook een beveiligingsfix voor Pro Forms uploads in versie 4.0.1, uitgebracht op 8 oktober 2026.
14. Updates zijn noodzakelijk, zelfs als de actieve formulieren geen uploadvelden bevatten.
15. Het wordt aanbevolen om logs te controleren op speciaal geconstrueerde temporaryFileUploads inzendingen en om mappen zoals /wp-content/uploads/bricksforge/tmp/ en andere uploadmappen te inspecteren op onverwachte PHP-bestanden.
16. Beheerders wordt tevens geadviseerd om te controleren op verzoeken naar nieuw aangemaakte scripts en op ongeautoriseerde wijzigingen aan de website.
17. De RapidMitigate regel van Patchstack biedt een tijdelijke bescherming door exploitatiepogingen te blokkeren wanneer directe updates nog niet mogelijk zijn.
18. Websites die eerder aan deze kwetsbaarheid zijn blootgesteld, moeten nog steeds een analyse ondergaan om mogelijke compromitteringen vast te stellen.
19. De aanval illustreert de risico's die gepaard gaan met onveilige bestandsafhandeling in WordPress-plugins, waarbij een ogenschijnlijk onschuldige uploadfunctie kan worden misbruikt voor code-uitvoering.