Уязвимость CVSS 10 в Bricksforge позволяет захватить WordPress-сайт
В плагине Bricksforge для WordPress активно эксплуатируется критическая уязвимость CVE-2026-85097 с оценкой CVSS 10,0. Ошибка затрагивает версии до 3.1.8.9 включительно и позволяет неавторизованному атакующему загрузить и выполнить произвольный PHP-код на уязвимом сайте. Исправление вышло в версии 3.1.8.10, при этом разработчики рекомендуют обновиться до актуальной версии 4.0.1.
Bricksforge расширяет возможности визуального конструктора Bricks: добавляет анимации, расширенные формы и прокручиваемые видеопоследовательности. Именно обработка загрузок через формы стала точкой входа для атаки.
Как работает обход проверки файлов
Patchstack обнаружила попытки эксплуатации 7 октября 2026 года в 21:47 UTC. При первоначальной загрузке Bricksforge проверяет MIME-тип файла, однако при последующей отправке формы доверяет метаданным, которые передаёт клиент. В частности, не проверяется поле url в параметре temporaryFileUploads.
Атакующий может запросить действующий nonce через не требующий авторизации AJAX-обработчик bricksforge_regenerate_nonce, затем загрузить полиглот GIF/PHP. Такой файл выглядит корректным изображением и проходит MIME-проверку, но содержит исполняемый PHP-код.
После этого в форме указывается путь к уже проверенному GIF- или PNG-файлу, а значение URL оканчивается на расширение PHP. Сервер принимает эти сведения и размещает содержимое изображения по PHP-пути. При обращении к созданному файлу встроенный код может быть выполнен на сервере.
Какие запросы искали злоумышленники
В наблюдаемых атаках использовались REST API-адрес /wp-json/bricksforge/v1/form_submit либо /wp-admin/admin-ajax.php с действием bricksforge_form_submit. В обоих случаях передавался специально сформированный параметр temporaryFileUploads.
Wordfence отмечает попытки обхода фильтрации расширений: применялись варианты .php5, .php7 и .phtml, изменение регистра символов, а также кодированные расширения. Patchstack увидела две характерные группы: 44 IP-адреса отправили 56 одинаковых запросов почти одновременно, а ещё три адреса проверили 25 вариантов расширений и кодировок для одного временного файла.
Всего Patchstack зафиксировала активность с 63 уникальных IP-адресов. Наблюдения указывают на автоматизированную эксплуатацию через меняющиеся прокси или распределённую инфраструктуру, но сами по себе не позволяют связать действия с одним конкретным оператором.
Что проверить владельцам сайтов
Успешная атака даёт возможность выполнить PHP-код, получить контроль над WordPress-сайтом, развернуть веб-шелл, прочитать чувствительные данные и закрепиться в системе. Поэтому обновление необходимо сочетать с проверкой уже произошедших изменений.
Владельцам сайтов следует изучить входящие обращения к /wp-json/bricksforge/v1/form_submit с параметром temporaryFileUploads, повторные отправки форм и неожиданные PHP-файлы в каталоге /wp-content/uploads/bricksforge/tmp/. Для бизнеса практический вывод прост: обновить Bricksforge до актуальной версии и провести аудит следов компрометации, поскольку патч предотвращает новые атаки, но не удаляет уже размещённый вредоносный код.