WordPress Bricksforge flaw është nën sulm aktiv

Faqet WordPress që përdorin versione të cenueshme të plugin Bricksforge po shënjestrohen përmes një flaw kritik që mund t’i lejojë një sulmuesi të paautentikuar të ekzekutojë kod PHP në server, sipas Patchstack. Cenueshmëria gjurmohet si CVE-2026-85097 dhe ka një rezultat ashpërsie CVSS prej 10.0, vlerësimi më i lartë në atë shkallë.

Problemi prek versionet Bricksforge deri në dhe përfshirë 3.1.8.9. Një rregullim u publikua në versionin 3.1.8.10 dhe përdoruesit këshillohen të përditësojnë në versionin më të fundit, 4.0.1. Bricksforge është një plugin WordPress i ndërtuar për mjetin vizual të ndërtimit të faqeve Bricks, duke shtuar funksione si animacione, formularë të avancuar dhe sekuenca videosh me lëvizje. Meqë bug mund të shfrytëzohet pa hyrë në llogari, faqet publike të ekspozuara janë shqetësimi kryesor.

Patchstack tha se zbuloi përpjekje shfrytëzimi kundër CVE-2026-85097 më 7 tetor 2026 në orën 9:47 p.m. UTC. Flaw është një problem remote code execution, që do të thotë se një sulmues mund ta bëjë një faqe të cenueshme të ekzekutojë kod të dhënë nga sulmuesi. Në këtë rast, kodi është PHP, gjuha e scripting në anën e serverit që përdoret gjerësisht nga WordPress. Shfrytëzimi i suksesshëm mund të lejojë kontrollin e faqes WordPress, vendosjen e web shell, qasjen në të dhëna të ndjeshme dhe persistence në faqe.

Dështimi teknik është te mënyra se si Bricksforge trajton skedarët e ngarkuar gjatë dërgimit të formularit. Patchstack tha se plugin kontrollon MIME type të një skedari, që është një etiketë që përshkruan se çfarë lloj skedari duket të jetë, kur skedari ngarkohet fillimisht. Më vonë, kur dorëzohet një formular, plugin i beson metadata të dërguara nga client, përfshirë fushën url brenda parametrit temporaryFileUploads. Kjo krijon një hendek midis skedarit që u validua dhe vendndodhjes ku përmbajtja mund të vendoset më vonë.

Rruga e raportuar e sulmit ka katër pjesë. Një sulmues fillimisht kërkon një nonce të vlefshëm, një vlerë me jetë të shkurtër që përdoret nga WordPress për të ndihmuar në verifikimin e kërkesave, nga endpoint AJAX i paautentikuar bricksforge_regenerate_nonce. Më pas sulmuesi ngarkon një polyglot GIF/PHP, një skedar që është i vlefshëm si imazh, por përmban edhe kod PHP, kështu që kalon kontrollin fillestar të imazhit dhe vendoset në direktorinë e përkohshme të ngarkimeve. Pastaj, sulmuesi dorëzon një formular ku file path tregon te ai imazh i validuar, ndërsa URL përfundon me një extension PHP. Bricksforge pastaj u beson metadata të dorëzuara dhe shkruan përmbajtjen e skedarit në një vendndodhje PHP, ku kodi i futur mund të ekzekutohet kur kërkohet.

Wordfence përshkroi të njëjtin mismatch në advisory e vet. Sipas Wordfence, sulmuesit mund të dorëzojnë një parametër temporaryFileUploads të përgatitur posaçërisht, ku file path në anën e serverit tregon te skedari GIF i validuar, por fusha url e kontrolluar nga sulmuesi përfundon me .php. Aktiviteti ka përdorur gjithashtu raste ku argumenti file është GIF ose PNG, ndërsa URL tregon te një payload PHP.

Patchstack vëzhgoi kërkesa të drejtuara te endpoint i dorëzimit të formularëve të Bricksforge REST API, /wp-json/bricksforge/v1/form_submit, dhe te /wp-admin/admin-ajax.php duke përdorur action bricksforge_form_submit. Parametri temporaryFileUploads i përgatitur posaçërisht përmbante një emër fushe, një file path nën /wp-content/uploads/bricksforge/tmp/, një URL që përfundonte me një extension të ngjashëm me PHP dhe një type si image/gif. Sulmuesit u përpoqën gjithashtu të anashkalonin filtrimin e extension me extension alternative PHP si .php5, .php7 dhe .phtml, variante me shkronja të përziera si .PHP, .Php dhe .pHp, dhe forma të koduara si .%70hp, %2ephp dhe .%2570%2568%2570.

Patchstack tha se dy clusters ishin të dukshme në telemetry e saj. Në një cluster, 44 IP addresses dërguan 56 kërkesa me payloads identikë brenda pak sekondash. Në një tjetër, tre IP addresses testuan 25 variacione extension PHP dhe kodimi kundër të njëjtit skedar të përkohshëm. Patchstack tha se këto modele tregojnë për shfrytëzim të automatizuar përmes rotating proxies ose infrastrukture të shpërndarë, por nuk identifikojnë vetvetiu një threat actor të vetëm. Aktiviteti u regjistrua nga 63 source IP addresses unike, ku gjashtë prej tyre përbënin afërsisht 46% të të gjitha kërkesave: 177.75.57[.]20, 23.97.62[.]146, 84.247.60[.]125, 38.154.185[.]97, 150.109.16[.]166 dhe 153.75.90[.]146.

Për pronarët e faqeve dhe ekipet e hosting, veprimi i menjëhershëm është përditësimi i Bricksforge. Faqet duhet të kontrollohen gjithashtu për shenja se shfrytëzimi ka ndodhur tashmë, veçanërisht sepse patching bllokon përpjekjet e reja, por nuk heq automatikisht skedarët keqdashës që mund të jenë krijuar tashmë. Patchstack rekomandon auditimin e kërkesave hyrëse te /wp-json/bricksforge/v1/form_submit që përfshijnë temporaryFileUploads, kërkimin e dorëzimeve të përsëritura të formularëve dhe kontrollin për skedarë PHP të papritur në /wp-content/uploads/bricksforge/tmp/.

Problemi i Bricksforge nuk është aktiviteti i vetëm i shfrytëzimit të WordPress i përshkruar nga Patchstack. Sulmuesit po abuzojnë gjithashtu cross-site scripting, të njohur si XSS, në dy plugins të palidhur: WPC Product Bundles for WooCommerce, i gjurmuar si CVE-2026-93836 me rezultat CVSS 7.1, dhe Ninja Forms, i gjurmuar si CVE-2026-94504 me rezultat CVSS 7.1. XSS do të thotë që script keqdashës ekzekutohet në browser të viktimës, shpesh duke abuzuar besimin te një faqe legjitime ose një session administratori.

Në këto sulme, Patchstack tha se një payload JavaScript i quajtur x.js mund të vendosë një plugin backdoor dhe të krijojë llogari administratori mashtruese. Plugin keqdashës përfshin një file manager të paautentikuar të arritshëm përmes një kërkese të drejtpërdrejtë te skedari kryesor PHP i plugin. Ai krijon gjithashtu një administrator WordPress të fshehur nga ekrani Users dhe instalon një magic login URL që autentikon mbajtësin si administratorin më të vjetër të faqes. Patchstack e përshkroi atë si një implant post-exploitation dhe persistence për WordPress që ekzekutohet brenda browser të një administratori të futur në llogari dhe abuzon atë session të autentikuar wp-admin.

Përditësimi i plugins të prekur ndalon shfrytëzimin e mëtejshëm të këtyre cenueshmërive specifike XSS, sipas udhëzimit të raportuar, por nuk heq një infeksion ekzistues. Versionet përkatëse të rregulluara janë 8.6.7 për WPC Product Bundles for WooCommerce dhe 3.15.4 për Ninja Forms. Pronarët e faqeve këshillohen të kontrollojnë për administratorë të fshehur duke bërë query drejtpërdrejt në database, të inspektojnë direktorinë must-use plugin dhe të shqyrtojnë logs të web server.

Wordfence raportoi gjithashtu prirje më të gjera shfrytëzimi të WordPress për tremujorin e dytë të vitit 2026. Ajo tha se gjatë tremujorit u publikuan 2,073 cenueshmëri të lidhura me WordPress, ndërsa flaws me kërcënim të lartë u rritën 15.2% nga tremujori i mëparshëm në 182. Wordfence tha gjithashtu se rreth 573,000 faqe WordPress u komprometuan gjatë asaj periudhe. Pesë cenueshmëritë më të shënjestruara që ajo renditi ishin CVE-2024-28000 në LiteSpeed Cache versionet deri në 6.3.0.1, CVE-2019-9879 në WPGraphQL versionet deri në 0.2.3, CVE-2016-15042 në Frontend File Manager para 4.0 dhe N-Media Post Front-end Form para 1.1, CVE-2023-28121 në WooCommerce Payments 4.8.0 deri në 5.6.1, dhe CVE-2025-3102 në SureTriggers deri në 1.0.78. Wordfence tha se pjesa më e madhe e IP addresses sulmuese vinte nga SHBA, e ndjekur nga Gjermania, Çekia, Australia, Norvegjia, Franca, Ukraina, Holanda, Zvicra dhe Brazili.