Il flaw di WordPress Bricksforge è sotto attacco attivo

I siti WordPress che eseguono versioni vulnerabili del plugin Bricksforge vengono presi di mira attraverso un flaw critico che può consentire a un aggressore non autenticato di eseguire codice PHP sul server, secondo Patchstack. La vulnerabilità è tracciata come CVE-2026-85097 e ha un punteggio di gravità CVSS di 10.0, il valore più alto su quella scala.

Il problema interessa le versioni di Bricksforge fino alla 3.1.8.9 inclusa. Una correzione è stata rilasciata nella versione 3.1.8.10, e agli utenti si consiglia di aggiornare all’ultima versione, 4.0.1. Bricksforge è un plugin WordPress creato per lo strumento visuale Bricks per la costruzione di siti, che aggiunge funzioni come animazioni, moduli avanzati e sequenze video a scorrimento. Poiché il bug può essere sfruttato senza effettuare l’accesso, i siti web pubblici esposti sono la principale preoccupazione.

Patchstack ha dichiarato di aver rilevato tentativi di sfruttamento contro CVE-2026-85097 il 7 ottobre 2026 alle 21:47 UTC. Il flaw è un problema di remote code execution, cioè un aggressore può far eseguire a un sito web vulnerabile codice fornito dall’aggressore. In questo caso, il codice è PHP, il linguaggio di scripting lato server ampiamente usato da WordPress. Uno sfruttamento riuscito potrebbe consentire il controllo del sito WordPress, il deployment di web shell, l’accesso a dati sensibili e la persistenza sul sito.

Il guasto tecnico è nel modo in cui Bricksforge gestisce i file caricati durante l’invio dei moduli. Patchstack ha detto che il plugin controlla il MIME type di un file, cioè un’etichetta che descrive che tipo di file sembra essere, quando il file viene caricato per la prima volta. Più tardi, quando viene inviato un modulo, il plugin si fida dei metadati inviati dal client, incluso il campo url all’interno del parametro temporaryFileUploads. Questo crea uno scarto tra il file che è stato validato e la posizione in cui il contenuto può successivamente essere collocato.

Il percorso di attacco segnalato ha quattro parti. Un aggressore prima richiede un nonce valido, un valore di breve durata usato da WordPress per aiutare a verificare le richieste, dall’endpoint AJAX non autenticato bricksforge_regenerate_nonce. Poi l’aggressore carica un polyglot GIF/PHP, un file valido come immagine ma che contiene anche codice PHP, così supera il controllo iniziale dell’immagine e arriva nella directory di upload temporanea. Successivamente, l’aggressore invia un modulo in cui il percorso del file punta a quell’immagine validata, mentre l’URL termina con un’estensione PHP. Bricksforge quindi si fida dei metadati inviati e scrive il contenuto del file in una posizione PHP, dove il codice incorporato può essere eseguito quando richiesto.

Wordfence ha descritto lo stesso disallineamento nel suo advisory. Secondo Wordfence, gli aggressori possono inviare un parametro temporaryFileUploads creato ad hoc in cui il percorso del file lato server punta al file GIF validato, ma il campo url controllato dall’aggressore termina con .php. L’attività ha usato anche casi in cui l’argomento file è un GIF o PNG mentre l’URL punta a un payload PHP.

Patchstack ha osservato richieste dirette all’endpoint di invio moduli della Bricksforge REST API, /wp-json/bricksforge/v1/form_submit, e a /wp-admin/admin-ajax.php usando l’azione bricksforge_form_submit. Il parametro temporaryFileUploads creato ad hoc conteneva un nome di campo, un percorso file sotto /wp-content/uploads/bricksforge/tmp/, un URL che terminava con un’estensione simile a PHP e un type come image/gif. Gli aggressori hanno anche provato ad aggirare il filtro sulle estensioni con estensioni PHP alternative come .php5, .php7 e .phtml, varianti con maiuscole e minuscole come .PHP, .Php e .pHp, e forme codificate come .%70hp, %2ephp e .%2570%2568%2570.

Patchstack ha detto che nella sua telemetria erano visibili due cluster. In un cluster, 44 indirizzi IP hanno inviato 56 richieste con payload identici nel giro di pochi secondi. In un altro, tre indirizzi IP hanno testato 25 variazioni di estensioni PHP e codifica contro lo stesso file temporaneo. Patchstack ha detto che questi schemi indicano sfruttamento automatizzato su proxy rotanti o infrastruttura distribuita, ma da soli non identificano un singolo threat actor. L’attività è stata registrata da 63 indirizzi IP sorgente unici, con sei responsabili di circa il 46% di tutte le richieste: 177.75.57[.]20, 23.97.62[.]146, 84.247.60[.]125, 38.154.185[.]97, 150.109.16[.]166 e 153.75.90[.]146.

Per i proprietari di siti web e i team di hosting, l’azione immediata è aggiornare Bricksforge. I siti dovrebbero inoltre essere controllati per individuare segnali che lo sfruttamento sia già avvenuto, soprattutto perché applicare la patch blocca i nuovi tentativi ma non rimuove automaticamente i file malevoli che potrebbero essere già stati creati. Patchstack raccomanda di sottoporre ad audit le richieste in ingresso a /wp-json/bricksforge/v1/form_submit che includono temporaryFileUploads, cercare invii ripetuti di moduli e controllare la presenza di file PHP inattesi in /wp-content/uploads/bricksforge/tmp/.

Il problema di Bricksforge non è l’unica attività di sfruttamento di WordPress descritta da Patchstack. Gli aggressori stanno abusando anche di cross-site scripting, noto come XSS, in due plugin non correlati: WPC Product Bundles for WooCommerce, tracciato come CVE-2026-93836 con un punteggio CVSS di 7.1, e Ninja Forms, tracciato come CVE-2026-94504 con un punteggio CVSS di 7.1. XSS significa che uno script malevolo viene eseguito nel browser di una vittima, spesso abusando della fiducia in un sito web legittimo o in una sessione di amministrazione.

In questi attacchi, Patchstack ha detto che un payload JavaScript chiamato x.js può distribuire un plugin backdoor e creare account amministratore non autorizzati. Il plugin malevolo include un file manager non autenticato raggiungibile tramite una richiesta diretta al file PHP principale del plugin. Crea anche un amministratore WordPress nascosto dalla schermata Users e installa un URL di login magico che autentica chi lo possiede come l’amministratore più vecchio del sito. Patchstack lo ha descritto come un impianto di post-exploitation e persistenza per WordPress che viene eseguito dentro il browser di un amministratore con accesso effettuato e abusa di quella sessione wp-admin autenticata.

Secondo le indicazioni riportate, aggiornare i plugin interessati ferma ulteriori sfruttamenti di quelle specifiche vulnerabilità XSS, ma non rimuove un’infezione esistente. Le versioni corrette rilevanti sono la 8.6.7 per WPC Product Bundles for WooCommerce e la 3.15.4 per Ninja Forms. Ai proprietari dei siti si consiglia di controllare la presenza di amministratori nascosti interrogando direttamente il database, ispezionare la directory dei must-use plugin e riesaminare i log del web server.

Wordfence ha segnalato anche tendenze più ampie di sfruttamento di WordPress per il secondo trimestre del 2026. Ha detto che durante il trimestre sono state pubblicate 2.073 vulnerabilità correlate a WordPress, mentre i flaw ad alta minaccia sono aumentati del 15,2% rispetto al trimestre precedente, arrivando a 182. Wordfence ha detto anche che circa 573.000 siti WordPress sono stati compromessi in quel periodo. Le cinque vulnerabilità più prese di mira che ha elencato erano CVE-2024-28000 in LiteSpeed Cache versioni fino alla 6.3.0.1, CVE-2019-9879 in WPGraphQL versioni fino alla 0.2.3, CVE-2016-15042 in Frontend File Manager prima della 4.0 e N-Media Post Front-end Form prima della 1.1, CVE-2023-28121 in WooCommerce Payments dalla 4.8.0 alla 5.6.1, e CVE-2025-3102 in SureTriggers fino alla 1.0.78. Wordfence ha detto che la quota maggiore di indirizzi IP attaccanti proveniva dagli Stati Uniti, seguiti da Germania, Cechia, Australia, Norvegia, Francia, Ucraina, Paesi Bassi, Svizzera e Brasile.