В WordPress обнаружили критическую уязвимость, через которую хакеры уже пытаются загружать исполняемые PHP-файлы без пароля. Проблема скрывается в плагине Bricksforge, а опасность оценена Patchstack в максимальные 10 баллов.
Уязвимость CVE-2026-85097 затрагивает Bricksforge версии 3.1.8.9 и более ранние. Разработчики устранили проблему в выпуске 3.1.8.10. Bricksforge расширяет возможности визуального конструктора Bricks Builder и добавляет формы, анимации и интерактивные элементы.
Причина связана с параметром temporaryFileUploads. При первоначальной загрузке Bricksforge проверяет MIME-тип, но затем доверяет адресу файла, присланному браузером. Злоумышленник может добиться несовпадения между уже проверенным содержимым и конечным именем файла.
Атакующий сначала получает служебный nonce через доступный без авторизации AJAX-обработчик, затем отправляет гибридный GIF-файл со встроенным PHP-кодом. Проверка распознаёт допустимое изображение. Затем злоумышленник подменяет URL в метаданных на адрес с расширением PHP. В результате сервер может сохранить содержимое изображения как исполняемый скрипт.
Для завершающего этапа чаще всего используют REST API по адресу /wp-json/bricksforge/v1/form_submit. Запуск загруженного PHP-файла позволяет выполнять команды на сервере, размещать веб-шеллы и менять содержимое сайта. Для эксплуатации не нужна учётная запись WordPress.
Patchstack впервые заметила попытки эксплуатации 7 октября 2026 года в 21:47 UTC. Специалисты зарегистрировали запросы с 63 уникальных IP-адресов. Одна группа из 44 адресов отправила 56 одинаковых запросов за считаные секунды, а три других адреса проверили 25 вариантов расширений PHP и их кодирования.
В 95% перехваченных запросов путь к исходному файлу заканчивался на .gif или .png, тогда как конечный адрес часто указывал на PHP-скрипт. Встречались расширения .php5, .phtml, разные варианты регистра и закодированные символы. Отдельные попытки были направлены на создание файлов login_admin_*.php в стандартной папке загрузок WordPress.
Patchstack описала механику атаки и сообщила о защитном правиле RapidMitigate. Однако количество обращений и IP-адресов не равно числу взломанных сайтов. В реестре CVE уязвимость получила 9,8 балла, тогда как Patchstack оценила её в 10.
Администраторам рекомендуют немедленно установить Bricksforge 3.1.8.10 или более свежую версию. Если сайт работал на уязвимой сборке, следует проверить журналы запросов к обработчику отправки форм, папки загрузок и недавно появившиеся PHP-файлы. Сходные атаки ранее затрагивали плагины Elementor Pro и Super Forms, где опасная загрузка также открывала путь к выполнению кода.
