WordPress Bricksforge-Schwachstelle wird aktiv angegriffen

WordPress-Websites, auf denen anfällige Versionen des Bricksforge-Plugin laufen, werden laut Patchstack über eine kritische Schwachstelle angegriffen, die es einem unauthentifizierten Angreifer ermöglichen kann, PHP-Code auf dem Server auszuführen. Die Schwachstelle wird als CVE-2026-85097 verfolgt und hat einen CVSS-Schweregrad von 10.0, die höchste Bewertung auf dieser Skala.

Das Problem betrifft Bricksforge-Versionen bis einschließlich 3.1.8.9. Eine Behebung wurde in Version 3.1.8.10 veröffentlicht, und Nutzern wird empfohlen, auf die neueste Version 4.0.1 zu aktualisieren. Bricksforge ist ein WordPress-Plugin für das visuelle Website-Bauwerkzeug Bricks und ergänzt Funktionen wie Animationen, erweiterte Formulare und scrollende Videosequenzen. Da der Bug ohne Anmeldung ausgenutzt werden kann, sind öffentlich erreichbare Websites das Hauptanliegen.

Patchstack teilte mit, dass es am 7. Oktober 2026 um 21:47 Uhr UTC Ausnutzungsversuche gegen CVE-2026-85097 erkannt habe. Bei der Schwachstelle handelt es sich um ein remote code execution-Problem, was bedeutet, dass ein Angreifer eine anfällige Website dazu bringen kann, vom Angreifer bereitgestellten Code auszuführen. In diesem Fall ist der Code PHP, die serverseitige Skriptsprache, die von WordPress weit verbreitet genutzt wird. Eine erfolgreiche Ausnutzung könnte die Kontrolle über die WordPress-Website, das Platzieren von web shells, den Zugriff auf sensible Daten und Persistenz auf der Website ermöglichen.

Der technische Fehler liegt darin, wie Bricksforge hochgeladene Dateien während der Formularübermittlung verarbeitet. Patchstack sagte, das Plugin prüfe beim ersten Hochladen einer Datei deren MIME type, also eine Kennzeichnung, die beschreibt, als welche Art von Datei sie erscheint. Später, wenn ein Formular übermittelt wird, vertraut das Plugin Metadaten, die vom Client gesendet werden, einschließlich des Feldes url innerhalb des Parameters temporaryFileUploads. Dadurch entsteht eine Lücke zwischen der Datei, die validiert wurde, und dem Ort, an dem der Inhalt später abgelegt werden kann.

Der gemeldete Angriffspfad besteht aus vier Teilen. Ein Angreifer fordert zunächst einen gültigen nonce an, einen kurzlebigen Wert, den WordPress verwendet, um Anfragen zu verifizieren, vom unauthentifizierten AJAX-Endpoint bricksforge_regenerate_nonce. Danach lädt der Angreifer ein GIF/PHP-Polyglot hoch, eine Datei, die als Bild gültig ist, aber auch PHP-Code enthält, sodass sie die anfängliche Bildprüfung besteht und im temporären Upload-Verzeichnis landet. Anschließend übermittelt der Angreifer ein Formular, bei dem der Dateipfad auf dieses validierte Bild verweist, während die URL mit einer PHP-Erweiterung endet. Bricksforge vertraut dann den übermittelten Metadaten und schreibt den Dateiinhalt an einen PHP-Speicherort, wo der eingebettete Code bei einer Anfrage ausgeführt werden kann.

Wordfence beschrieb dieselbe Diskrepanz in seinem Advisory. Laut Wordfence können Angreifer einen manipulierten temporaryFileUploads-Parameter übermitteln, bei dem der serverseitige Dateipfad auf die validierte GIF-Datei zeigt, das vom Angreifer kontrollierte url-Feld jedoch mit .php endet. Bei der Aktivität wurden außerdem Fälle verwendet, in denen das file-Argument ein GIF oder PNG ist, während die URL auf einen PHP-Payload verweist.

Patchstack beobachtete Anfragen an den Bricksforge REST API-Endpoint für Formularübermittlungen, /wp-json/bricksforge/v1/form_submit, sowie an /wp-admin/admin-ajax.php mit der action bricksforge_form_submit. Der manipulierte temporaryFileUploads-Parameter enthielt einen Feldnamen, einen Dateipfad unter /wp-content/uploads/bricksforge/tmp/, eine URL, die mit einer PHP-ähnlichen Erweiterung endet, und einen type wie image/gif. Angreifer versuchten außerdem, Extension-Filtering mit alternativen PHP-Erweiterungen wie .php5, .php7 und .phtml, Varianten mit gemischter Groß- und Kleinschreibung wie .PHP, .Php und .pHp sowie codierten Formen wie .%70hp, %2ephp und .%2570%2568%2570 zu umgehen.

Patchstack sagte, in seiner Telemetrie seien zwei Cluster sichtbar gewesen. In einem Cluster sendeten 44 IP-Adressen innerhalb weniger Sekunden 56 Anfragen mit identischen Payloads. In einem anderen testeten drei IP-Adressen 25 PHP-Erweiterungs- und Encoding-Varianten gegen dieselbe temporäre Datei. Patchstack sagte, diese Muster deuteten auf automatisierte Ausnutzung über rotierende Proxys oder verteilte Infrastruktur hin, identifizierten für sich allein jedoch keinen einzelnen Threat Actor. Die Aktivität wurde von 63 eindeutigen Quell-IP-Adressen aufgezeichnet, wobei sechs für etwa 46 % aller Anfragen verantwortlich waren: 177.75.57[.]20, 23.97.62[.]146, 84.247.60[.]125, 38.154.185[.]97, 150.109.16[.]166 und 153.75.90[.]146.

Für Website-Betreiber und Hosting-Teams besteht die unmittelbare Maßnahme darin, Bricksforge zu aktualisieren. Websites sollten außerdem auf Anzeichen geprüft werden, dass bereits eine Ausnutzung stattgefunden hat, insbesondere weil ein Patch neue Versuche blockiert, aber nicht automatisch schädliche Dateien entfernt, die möglicherweise bereits erstellt wurden. Patchstack empfiehlt, eingehende Anfragen an /wp-json/bricksforge/v1/form_submit zu prüfen, die temporaryFileUploads enthalten, nach wiederholten Formularübermittlungen zu suchen und auf unerwartete PHP-Dateien in /wp-content/uploads/bricksforge/tmp/ zu prüfen.

Das Bricksforge-Problem ist nicht die einzige von Patchstack beschriebene WordPress-Ausnutzungsaktivität. Angreifer missbrauchen außerdem cross-site scripting, bekannt als XSS, in zwei nicht verwandten Plugins: WPC Product Bundles for WooCommerce, verfolgt als CVE-2026-93836 mit einem CVSS-Score von 7.1, und Ninja Forms, verfolgt als CVE-2026-94504 mit einem CVSS-Score von 7.1. XSS bedeutet, dass schädlicher Script im Browser eines Opfers ausgeführt wird, häufig durch Missbrauch des Vertrauens in eine legitime Website oder eine Admin-Sitzung.

Bei diesen Angriffen kann laut Patchstack ein JavaScript-Payload namens x.js ein Backdoor-Plugin bereitstellen und betrügerische Administrator-Konten erstellen. Das schädliche Plugin enthält einen unauthentifizierten File Manager, der über eine direkte Anfrage an die Haupt-PHP-Datei des Plugins erreichbar ist. Es erstellt außerdem einen WordPress-Administrator, der auf dem Users-Bildschirm verborgen ist, und installiert eine Magic-Login-URL, die den Inhaber als ältesten Administrator der Website authentifiziert. Patchstack beschrieb es als WordPress-Post-Exploitation- und Persistenz-Implantat, das im Browser eines angemeldeten Administrators läuft und diese authentifizierte wp-admin-Sitzung missbraucht.

Die Aktualisierung der betroffenen Plugins stoppt laut den gemeldeten Empfehlungen die weitere Ausnutzung dieser spezifischen XSS-Schwachstellen, entfernt aber keine bestehende Infektion. Die relevanten behobenen Versionen sind 8.6.7 für WPC Product Bundles for WooCommerce und 3.15.4 für Ninja Forms. Website-Betreibern wird geraten, durch direkte Datenbankabfragen nach versteckten Administratoren zu suchen, das must-use plugin-Verzeichnis zu prüfen und Webserver-Logs zu überprüfen.

Wordfence berichtete außerdem über breitere WordPress-Ausnutzungstrends für das zweite Quartal 2026. Demnach wurden in diesem Quartal 2.073 WordPress-bezogene Schwachstellen veröffentlicht, während Schwachstellen mit hoher Bedrohung im Vergleich zum Vorquartal um 15,2 % auf 182 stiegen. Wordfence sagte außerdem, dass in diesem Zeitraum etwa 573.000 WordPress-Websites kompromittiert wurden. Die fünf am häufigsten angegriffenen Schwachstellen, die es auflistete, waren CVE-2024-28000 in LiteSpeed Cache-Versionen bis 6.3.0.1, CVE-2019-9879 in WPGraphQL-Versionen bis 0.2.3, CVE-2016-15042 in Frontend File Manager vor 4.0 und N-Media Post Front-end Form vor 1.1, CVE-2023-28121 in WooCommerce Payments 4.8.0 bis 5.6.1 sowie CVE-2025-3102 in SureTriggers bis 1.0.78. Wordfence sagte, der größte Anteil angreifender IP-Adressen stamme aus den USA, gefolgt von Deutschland, Tschechien, Australien, Norwegen, Frankreich, der Ukraine, den Niederlanden, der Schweiz und Brasilien.