Angreifer nutzen CVE-2026-85097 im WordPress-Plugin Bricksforge aus. Die Schwachstelle ermöglicht es jemandem ohne Konto, eine Datei hochzuladen, die der Server dann als PHP ausführt. Laut Patchstack, wie The Hacker News berichtet, hat Patchstack am 7. Oktober 2026 um 21:47 Uhr UTC Ausnutzungsversuche erkannt. Das ist der Zeitpunkt, zu dem Patchstack die Aktivität bemerkt hat, nicht das Datum, an dem der Fehler eingeführt oder öffentlich gemacht wurde.
Alle Versionen bis einschließlich 3.1.8.9 sind verwundbar. Version 3.1.8.10 ist die erste korrigierte Build-Version, und der Bericht empfiehlt, auf die aktuelle Version 4.0.1 umzusteigen.
Die Schweregradbewertung hängt von der Quelle ab. The Hacker News nennt einen CVSS-Wert von 10,0. Die NVD-Daten führen 9,8 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H und ordnen die Schwachstelle als CWE-434 (unbeschränkter Upload einer Datei mit gefährlichem Typ) ein.
Warum ein geprüftes Bild als PHP-Datei landet
Bricksforge ist eine Erweiterung für den Seitenbaukasten Bricks, die Animationen, erweiterte Formulare und ähnliche Funktionen bereitstellt. Der Fehler liegt in der Formularverarbeitung. Das Plugin prüft den MIME-Typ einer Datei beim Hochladen korrekt. Wird das Formular später abgeschickt, übernimmt es die Dateiangaben aus dem Browser ungeprüft. Patchstack zufolge validiert es das Feld url innerhalb des Parameters temporaryFileUploads nicht.
Die NVD-Beschreibung und der Wordfence-Hinweis beschreiben den Ablauf so:
- Der Angreifer fordert über den nicht authentifizierten AJAX-Endpunkt
bricksforge_regenerate_nonceeinen gültigen Nonce an. - Er lädt ein GIF/PHP-Polyglott hoch, also ein echtes Bild, das zusätzlich PHP-Code enthält. Es besteht die MIME-Prüfung und landet im temporären Upload-Verzeichnis.
- Er sendet ein Formular, dessen Wert
fileauf das freigegebene Bild zeigt, während der Werturlauf eine PHP-Endung endet. - Das Plugin vertraut den übermittelten Metadaten und schreibt den Inhalt des Bildes an den Speicherort mit PHP-Namen. Der eingebettete Code wird ausgeführt, sobald diese Datei aufgerufen wird.
The Hacker News nennt als Folgen beliebige PHP-Ausführung, die Übernahme der Website, die Installation einer Web-Shell, Zugriff auf sensible Daten und dauerhaften Zugang.
Patchstack beobachtete Anfragen an /wp-json/bricksforge/v1/form_submit und an /wp-admin/admin-ajax.php mit der Aktion bricksforge_form_submit. Die gemeldete Ausnutzung versucht außerdem, Endungsfilter zu umgehen. Dafür verwendet sie alternative PHP-Endungen (.php5, .php7, .phtml), gemischte Groß- und Kleinschreibung (.PHP, .Php, .pHp) sowie kodierte Formen (.%70hp, %2ephp, .%2570%2568%2570).
Wie der Datenverkehr aussieht
Die Telemetriedaten von Patchstack zeigen 63 verschiedene Quell-IPs. Sechs davon verursachen rund 46 % aller Anfragen. Zwei Muster fielen besonders auf:
- Serie identischer Anfragen: 44 IPs sendeten 56 Anfragen mit derselben Nutzlast, alle innerhalb weniger Sekunden.
- Test von Dateiendungen: Drei IPs probierten 25 Varianten von PHP-Endungen und Kodierungen gegen eine einzelne temporäre Datei aus.
Patchstack wertet beide Muster als automatisierte Ausnutzung über rotierende Proxys oder verteilte Infrastruktur. Sie lassen die Aktivität für sich genommen nicht einem einzelnen Bedrohungsakteur zuordnen, so Patchstack.
Die sechs aktivsten Adressen, wie veröffentlicht entschärft:
177.75.57[.]20
23.97.62[.]146
84.247.60[.]125
38.154.185[.]97
150.109.16[.]166
153.75.90[.]146
Was Website-Betreiber tun sollten
Bricksforge auf 4.0.1 aktualisieren; 3.1.8.10 ist die mindestens nötige korrigierte Version. Der Bericht empfiehlt außerdem, auf Spuren früherer Ausnutzung zu prüfen:
- Eingehende Anfragen an
/wp-json/bricksforge/v1/form_submitprüfen, die einen ParametertemporaryFileUploadsenthalten. - Nach wiederholten Formularübermittlungen suchen.
/wp-content/uploads/bricksforge/tmp/auf PHP-Dateien prüfen, die dort nichts zu suchen haben.
Eine parallele Kampagne: Stored XSS zum Einschleusen einer Backdoor
Derselbe Bericht behandelt einen weiteren Fall. Angreifer missbrauchen gespeicherte Cross-Site-Scripting-Schwachstellen (CWE-79) in zwei voneinander unabhängigen Plugins, um eine JavaScript-Nutzlast namens x.js auszuliefern. Die NVD bewertet beide Lücken mit 7,2 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N), während The Hacker News für jede 7,1 angibt.
- WPC Product Bundles for WooCommerce, CVE-2026-93836: Versionen bis einschließlich 8.6.6 sind betroffen, 8.6.7 behebt das Problem. Der Einstiegspunkt ist der Parameter
qty. Die Mengenprüfung wandelt den Wert in eine Fließkommazahl um. Eine Zeichenkette, die mit einer Zahl beginnt, besteht die Prüfung und behält dabei ihr HTML. Das Markup wird danach unverändert in den Bestellpositions-Metadaten unter dem Schlüssel_woosb_idsgespeichert. - Ninja Forms, CVE-2026-94504: Version 3.15.3 ist betroffen, 3.15.4 behebt die Lücke. Anonym über ein Textarea ohne Rich-Text-Editor übermittelter Text wird im alten Übermittlungseditor ohne sichere HTML-Kodierung angezeigt. Das Skript läuft im Ursprung des WordPress-Admins, wenn ein Administrator die dem Angreifer bekannte direkte URL der Übermittlung öffnet.
Patchstack beschreibt x.js als Implantat, das nach der Ausnutzung im Browser eines angemeldeten Administrators läuft. Es nutzt die wp-admin-Sitzung dieser Person, um ein bösartiges Plugin zu installieren, einen neuen Administrator anzulegen und einen zusätzlichen, verborgenen Persistenzmechanismus auszulösen. Ergebnisse meldet es an Infrastruktur, die der Angreifer kontrolliert.
Laut The Hacker News hat das eingeschleuste Plugin einen nicht authentifizierten Dateimanager, der über eine direkte Anfrage an seine Haupt-PHP-Datei erreichbar ist. Außerdem legt es einen Administrator an, der in der Benutzerübersicht verborgen ist, sowie eine „Magic-Login-URL“, die den Inhaber als ältesten Administrator der Website anmeldet.
Das Aktualisieren der beiden Plugins verhindert weitere Ausnutzung, entfernt aber keine bereits bestehende Infektion, heißt es im Artikel. Betreibern wird empfohlen, die Datenbank direkt auf verborgene Administratoren abzufragen, das Verzeichnis der Must-Use-Plugins zu prüfen und die Webserver-Logs auszuwerten.
Die Wordfence-Zahlen für das zweite Quartal 2026
Der Artikel gibt außerdem Wordfence-Daten für das zweite Quartal 2026 wieder. Demnach wurden 2.073 veröffentlichte WordPress-Schwachstellen gezählt, darunter 182 mit hoher Bedrohungsstufe, ein Anstieg um 15,2 % gegenüber dem Vorquartal. In diesem Zeitraum wurden rund 573.000 WordPress-Websites kompromittiert. Diese Zahl bezieht sich auf die gesamte Plattform und nicht speziell auf Bricksforge.
Die fünf am häufigsten angegriffenen Schwachstellen in diesen Daten:
| CVE | CVSS | Produkt und betroffene Versionen | Typ |
|---|---|---|---|
| CVE-2024-28000 | 9,8 | LiteSpeed Cache ≤ 6.3.0.1 | Falsche Rechtevergabe; nicht authentifizierte Rechteerweiterung |
| CVE-2019-9879 | 9,8 | WPGraphQL ≤ 0.2.3 | Registrierung von Administratorbenutzern über die Mutation registerUser |
| CVE-2016-15042 | 9,8 | Frontend File Manager < 4.0; N-Media Post Front-end Form < 1.1 | Beliebiger Datei-Upload |
| CVE-2023-28121 | 9,8 | WooCommerce Payments 4.8.0 – 5.6.1 | Umgehung der Authentifizierung und Rechteerweiterung |
| CVE-2025-3102 | 8,1 | SureTriggers ≤ 1.0.78 | Umgehung der Authentifizierung, die zur Anlage eines Administratorkontos führt |
Laut NVD hängen zwei davon von der Konfiguration der Website ab. CVE-2019-9879 greift, wenn neue Benutzerregistrierungen erlaubt sind. CVE-2025-3102 greift, wenn das Plugin aktiv ist, aber kein API-Schlüssel konfiguriert wurde.
Die meisten angreifenden IP-Adressen stammten aus den Vereinigten Staaten, gefolgt von Deutschland, Tschechien, Australien, Norwegen, Frankreich, der Ukraine, den Niederlanden, der Schweiz und Brasilien.
