Los atacantes están explotando CVE-2026-85097 en el plugin de WordPress Bricksforge. El fallo permite a alguien sin cuenta subir un archivo y hacer que el servidor lo ejecute como PHP. Según Patchstack, citado por The Hacker News, la empresa detectó intentos de explotación el 7 de octubre de 2026 a las 21:47 UTC. Esa es la hora en que Patchstack vio la actividad, no la fecha en que se introdujo o se hizo pública la vulnerabilidad.
Todas las versiones hasta la 3.1.8.9 incluida son vulnerables. La 3.1.8.10 es la primera versión corregida, y el informe recomienda pasar a la versión actual, la 4.0.1.
La puntuación de gravedad depende de la fuente. The Hacker News indica una CVSS de 10,0. Los datos de la NVD dan 9,8, con el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, y clasifican la debilidad como CWE-434 (carga sin restricciones de un archivo de tipo peligroso).
Por qué una imagen validada acaba convertida en un archivo PHP
Bricksforge es un complemento del constructor de sitios Bricks que aporta animaciones, formularios avanzados y funciones similares. El error está en el manejo de los formularios. El plugin comprueba correctamente el tipo MIME del archivo al subirlo. Cuando el formulario se envía después, acepta sin más los datos del archivo que envía el navegador. Patchstack indica que no valida el campo url dentro del parámetro temporaryFileUploads.
La descripción de la NVD y el aviso de Wordfence describen la secuencia:
- El atacante solicita un nonce válido al endpoint AJAX sin autenticación
bricksforge_regenerate_nonce. - Sube un polígloto GIF/PHP, una imagen auténtica que además contiene código PHP. Supera la comprobación MIME y queda en el directorio de subidas temporales.
- Envía un formulario cuyo valor
fileapunta a esa imagen aprobada, mientras que el valorurltermina en una extensión PHP. - Confiando en los metadatos enviados, el plugin escribe el contenido de la imagen en la ubicación con nombre PHP. El código incrustado se ejecuta cuando se solicita ese archivo.
The Hacker News enumera las consecuencias: ejecución arbitraria de PHP, toma del control del sitio, despliegue de web shells, acceso a datos sensibles y acceso persistente.
Patchstack observó solicitudes dirigidas a /wp-json/bricksforge/v1/form_submit y a /wp-admin/admin-ajax.php con la acción bricksforge_form_submit. La explotación informada también intenta eludir los filtros de extensiones. Usa sufijos PHP alternativos (.php5, .php7, .phtml), variantes con mayúsculas y minúsculas mezcladas (.PHP, .Php, .pHp) y formas codificadas (.%70hp, %2ephp, .%2570%2568%2570).
Qué muestra el tráfico
La telemetría de Patchstack registra 63 IP de origen distintas, y seis de ellas son responsables de alrededor del 46 % de todas las solicitudes. Destacan dos grupos:
- Ráfaga de solicitudes idénticas: 44 IP enviaron 56 solicitudes con la misma carga útil, todas con pocos segundos de diferencia entre sí.
- Sondeo de extensiones: tres IP probaron 25 variaciones de extensiones PHP y codificaciones contra un único archivo temporal.
Patchstack interpreta ambos patrones como explotación automatizada a través de proxies rotativos o infraestructura distribuida. En sus palabras, «no atribuyen por sí solos la actividad a un único actor de amenazas».
Las seis direcciones más activas, con la notación defanged tal como se publicó:
177.75.57[.]20
23.97.62[.]146
84.247.60[.]125
38.154.185[.]97
150.109.16[.]166
153.75.90[.]146
Qué deben hacer los propietarios de los sitios
Actualiza Bricksforge a la 4.0.1; la 3.1.8.10 es la versión corregida mínima. El informe recomienda además buscar indicios de abuso anterior:
- Revisar las solicitudes entrantes a
/wp-json/bricksforge/v1/form_submitque incluyan un parámetrotemporaryFileUploads. - Buscar envíos de formulario repetidos.
- Inspeccionar
/wp-content/uploads/bricksforge/tmp/en busca de archivos PHP que no deberían estar ahí.
Una campaña paralela: XSS almacenado usado para instalar una puerta trasera
El mismo informe recoge un caso aparte. Los atacantes abusan de fallos de cross-site scripting almacenado (CWE-79) en dos plugins sin relación entre sí para entregar una carga útil JavaScript llamada x.js. La NVD asigna a ambos fallos una puntuación de 7,2 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N), mientras que The Hacker News indica 7,1 para cada uno.
- WPC Product Bundles for WooCommerce, CVE-2026-93836: las versiones hasta la 8.6.6 están afectadas, y la 8.6.7 corrige el problema. El punto de entrada es el parámetro
qty. La validación de la cantidad convierte el valor en float, así que una cadena que empieza por un número pasa conservando su HTML. El marcado se almacena sin cambios en los metadatos del elemento del pedido, bajo la clave_woosb_ids. - Ninja Forms, CVE-2026-94504: la versión 3.15.3 está afectada y la 3.15.4 lo corrige. El texto enviado de forma anónima a través de un textarea sin RTE se muestra sin codificación HTML segura en el editor heredado de envíos. El script se ejecuta en el origen de WordPress admin cuando un administrador abre la URL directa de envío que conoce el atacante.
Patchstack describe x.js como un implante de post-explotación que se ejecuta en el navegador de un administrador con la sesión iniciada. Aprovecha la sesión de wp-admin de esa persona para instalar un plugin malicioso, añadir un nuevo administrador, activar un mecanismo de persistencia oculto adicional y enviar resultados a una infraestructura controlada por el atacante.
The Hacker News señala que el plugin instalado tiene un gestor de archivos sin autenticación, accesible mediante una solicitud directa a su archivo PHP principal. También crea un administrador oculto en la pantalla de Usuarios y una «URL de inicio de sesión mágica» que inicia sesión como el administrador más antiguo del sitio.
Actualizar los dos plugins impide nuevas explotaciones, pero no elimina una infección ya existente, indica el artículo. Recomienda a los propietarios consultar directamente la base de datos en busca de administradores ocultos, revisar el directorio de plugins de uso obligatorio (mu-plugins) y analizar los registros del servidor web.
Cifras del segundo trimestre de 2026 de Wordfence
El artículo también recoge datos de Wordfence para el segundo trimestre de 2026. Contabiliza 2.073 vulnerabilidades publicadas de WordPress, de las cuales 182 son de alto riesgo, lo que supone un aumento del 15,2 % respecto al trimestre anterior. Unos 573.000 sitios de WordPress se vieron comprometidos en el periodo, una cifra de toda la plataforma que no es específica de Bricksforge.
Las cinco vulnerabilidades más atacadas de esos datos:
| CVE | CVSS | Producto y versiones afectadas | Tipo |
|---|---|---|---|
| CVE-2024-28000 | 9,8 | LiteSpeed Cache ≤ 6.3.0.1 | Asignación incorrecta de privilegios; escalada de privilegios sin autenticación |
| CVE-2019-9879 | 9,8 | WPGraphQL ≤ 0.2.3 | Registro de usuarios administradores mediante la mutación registerUser |
| CVE-2016-15042 | 9,8 | Frontend File Manager < 4.0; N-Media Post Front-end Form < 1.1 | Subida arbitraria de archivos |
| CVE-2023-28121 | 9,8 | WooCommerce Payments 4.8.0 – 5.6.1 | Evasión de autenticación y escalada de privilegios |
| CVE-2025-3102 | 8,1 | SureTriggers ≤ 1.0.78 | Evasión de autenticación que lleva a la creación de una cuenta de administrador |
Según la NVD, dos de estas dependen de la configuración del sitio. CVE-2019-9879 se aplica cuando se permite el registro de nuevos usuarios. CVE-2025-3102 se aplica cuando el plugin está activo pero no tiene configurada una clave de API.
La mayoría de las direcciones IP atacantes procedían de Estados Unidos, seguidas de Alemania, Chequia, Australia, Noruega, Francia, Ucrania, Países Bajos, Suiza y Brasil.
