Bricksforge per WordPress: exploit attivo per CVE-2026-85097 (CVSS 10.0)

• Falla CVE-2026-85097 (CVSS 10.0) in Bricksforge: upload ed esecuzione di PHP senza autenticazione
• Sfruttamento osservato da Patchstack dal 7 ottobre 2026, con 63 IP sorgente
• Colpite le versioni fino alla 3.1.8.9 inclusa
• Aggiornare alla 3.1.8.10 o successiva e cercare file PHP anomali negli upload

Gli attaccanti stanno sfruttando CVE-2026-85097, una vulnerabilità critica del plugin WordPress Bricksforge che consente di caricare ed eseguire codice PHP arbitrario senza alcuna autenticazione. Il punteggio CVSS è 10.0, il massimo. Patchstack ha rilevato i primi tentativi di sfruttamento il 7 ottobre 2026, alle 21:47:17 UTC.

Versioni colpite e correzione

Il difetto riguarda Bricksforge fino alla versione 3.1.8.9 inclusa. La versione corretta indicata da Patchstack è la 3.1.8.10. Bricksforge è un’estensione di Bricks Builder che aggiunge moduli avanzati, animazioni, strumenti per i dati dinamici e controlli del sito. Il problema è nel processo di caricamento file dei moduli.

Come funziona la falla

Secondo il report tecnico di Patchstack, il plugin verifica il tipo MIME del file al primo upload, per accertare che sia un’immagine consentita. Quando però il modulo viene inviato, si fida dei dati sul file forniti dal visitatore e non controlla in modo adeguato il campo URL all’interno di temporaryFileUploads.

Gli attaccanti caricano un file che sembra un GIF ma contiene codice PHP. L’immagine supera il primo controllo e finisce nella cartella temporanea. Un invio del modulo costruito ad hoc abbina poi il percorso sul server a un URL di destinazione con estensione PHP. Il plugin copia il contenuto nella destinazione e, richiedendo quel file, il server esegue il codice nascosto.

Le conseguenze possibili sono l’installazione di web shell, la modifica dei contenuti del sito, la lettura di dati sensibili e il mantenimento dell’accesso. L’attacco usa anche l’azione AJAX pubblica bricksforge_regenerate_nonce per ottenere un token di richiesta valido.

Cosa mostrano i log

La falla è distinta da una precedente vulnerabilità di esecuzione di codice remoto in Bricks Builder. Quasi tutti i tentativi hanno colpito l’endpoint /wp-json/bricksforge/v1/form_submit; uno ha usato /wp-admin/admin-ajax.php con l’azione bricksforge_form_submit.

• Nel 95% delle richieste il percorso sul server terminava con .gif o .png, spesso abbinato a un URL di destinazione PHP.
• Sono state provate estensioni come .php5, .php8 e .phtml, con maiuscole miste e nomi di file codificati.
• Alcuni tentativi puntavano a creare file login_admin_*.php nelle normali cartelle di upload di WordPress.
• Patchstack ha registrato 63 indirizzi IP sorgente: un gruppo di 44 IP ha inviato 56 richieste identiche in pochi secondi, un altro di tre IP ha provato 25 varianti di estensione e codifica.

Questi schemi indicano attività automatizzata su infrastruttura distribuita, ma non permettono di identificare un singolo autore.

Cosa fare

• Aggiornare Bricksforge alla 3.1.8.10 o successiva. Il changelog del vendor segnala anche una correzione di sicurezza sugli upload di Pro Forms nella 4.0.1, uscita l’8 ottobre, e raccomanda l’aggiornamento anche se i moduli attivi non hanno campi di upload.
• Controllare i log per invii sospetti con temporaryFileUploads.
• Ispezionare /wp-content/uploads/bricksforge/tmp/ e le altre cartelle di upload alla ricerca di file PHP inattesi, richieste a script appena creati e modifiche non autorizzate.
• Se non è possibile aggiornare subito, la regola RapidMitigate di Patchstack blocca i tentativi di sfruttamento come protezione temporanea.

I siti che sono stati esposti dovrebbero comunque essere sottoposti a una verifica di compromissione.

Indicatori di compromissione (IoC)

/wp-json/bricksforge/v1/form_submit
bricksforge_regenerate_nonce
bricksforge_form_submit
/wp-content/uploads/bricksforge/tmp/
login_admin_*.php

Fonte: Cyber Security News · Foto: Cyber Security News