Bricksforge (CVE-2026-85097): krytyczna luka we wtyczce WordPress jest atakowana

Wtyczka Bricksforge do WordPressa ma krytyczną lukę CVE-2026-85097, która pozwala bez logowania wgrać na serwer plik PHP i wykonać kod. Firma Patchstack widzi ataki od 7 października 2026. Podatne są wersje 3.1.8.9 i starsze, a poprawka jest w 3.1.8.10. Według SecurityWeek wtyczkę ma około 6000 stron. Jeśli jej używasz, zaktualizuj ją dzisiaj, a potem sprawdź, czy nikt się nie włamał.

Na czym polega luka

Bricksforge ma w wersji Pro formularze z wgrywaniem plików. Patchstack opisuje błąd tak: wtyczka sprawdza typ MIME pliku tylko wtedy, gdy plik jest pierwszy raz wgrywany. Przy wysłaniu formularza ufa już metadanym, które przysyła przeglądarka, i nie waliduje pola url w parametrze temporaryFileUploads.

Atak przebiega w trzech krokach:

1. Atakujący wgrywa plik, który jest jednocześnie poprawnym obrazem GIF i zawiera kod PHP (tzw. polyglot). Przechodzi kontrolę typu.
2. Wysyła formularz, w którym ścieżka pliku wskazuje na obraz, ale pole url kończy się rozszerzeniem PHP.
3. Serwer zapisuje zawartość pliku pod nazwą PHP. Gdy atakujący otworzy ten plik w przeglądarce, kod się wykonuje.

Atak działa przez POST /wp-json/bricksforge/v1/form_submit albo przez admin-ajax.php z akcją bricksforge_form_submit. Potrzebny nonce atakujący pobiera z publicznej akcji bricksforge_regenerate_nonce, więc konto nie jest potrzebne. Efekt to webshell: zmiana treści strony, odczyt danych, trwały dostęp.

Skala ocen i ataków

• CVSS: Patchstack podaje 10,0. SecurityWeek wspomina 9,8. W obu wypadkach to poziom krytyczny.
• Pierwszy zaobserwowany atak: 7 października 2026, 21:47 UTC.
• Źródła ataków: 63 różne adresy IP. Jedna grupa 44 adresów wysłała 56 identycznych żądań w ciągu kilku sekund. Druga grupa, 3 adresy, testowała 25 wariantów rozszerzeń PHP dla tego samego pliku tymczasowego. To wygląda na zautomatyzowane ataki przez rotujące proxy, a nie jednego atakującego.

Co zrobić teraz

1. Zaktualizuj Bricksforge do 3.1.8.10 lub nowszej. To jedyna pełna naprawa. Jeśli nie możesz, wyłącz wtyczkę do czasu aktualizacji.
2. Przejrzyj logi od 7 października. Szukaj żądań do /wp-json/bricksforge/v1/form_submit z temporaryFileUploads, wywołań bricksforge_regenerate_nonce tuż przed wgraniem pliku oraz powtarzanych wysyłek, w których zmienia się rozszerzenie, kodowanie albo wielkość liter.
3. Poszukaj podejrzanych plików. Sprawdź wp-content/uploads/bricksforge/tmp/ i inne katalogi w uploads (np. uploads/2026/10/) pod kątem plików PHP. Patchstack podaje nazwy w stylu login_admin_*.php oraz warianty .php5, .php7, .php8, .phtml, .pht, .phps, zapis mieszaną wielkością liter i zakodowane formy typu %2ephp. W katalogu uploads nie powinno być żadnych plików PHP.
4. Sprawdź adresy IP w logach. Najaktywniejsze źródła według Patchstack: 177.75.57.20, 23.97.62.146, 84.247.60.125, 38.154.185.97, 150.109.16.166, 153.75.90.146.
5. Sprawdź konta i zmiany. Nowi administratorzy, nowe zadania cron, zmienione pliki motywu i wtyczek, nieznane przekierowania.

Jeśli znajdziesz webshell, nie kończ na jego usunięciu. Zmień hasła i klucze (wp-config.php, baza, FTP), przejrzyj wszystkie pliki i zachowaj logi. Warto też przeczytać o infekcjach, które odtwarzają się po czyszczeniu: Backdoor „SC" w WordPressie.

Wniosek: wtyczka też bywa krytyczna

Ten przypadek różni się od naszych wpisów o rdzeniu WordPressa, np. WordPress 7.1. Rdzeń WP dostaje automatyczne aktualizacje bezpieczeństwa, a wtyczki zwykle nie. Luka ze wtyczki, którą ma kilka tysięcy stron, jest od razu celem automatycznych skanerów. Ten sam błąd, czyli zaufanie do danych z przeglądarki przy wgrywaniu plików, powtarza się w wielu wtyczkach. Dlatego usuń nieużywane wtyczki, a przy używanych włącz automatyczne aktualizacje tam, gdzie to bezpieczne.

Źródła

• Patchstack: Critical Unauthenticated Arbitrary File Upload Vulnerability Exploited in Bricksforge Plugin
• SecurityWeek: Bricksforge WordPress Plugin Vulnerability Exploited in the Wild
• The Hacker News: Attackers Exploit CVSS 10.0 Bricksforge WordPress Flaw