Gli attaccanti stanno sfruttando la CVE-2026-85097 nel plugin WordPress Bricksforge. La falla permette a chiunque, senza un account, di caricare un file e far sì che il server lo esegua come PHP. Secondo Patchstack, riportata da The Hacker News, il rilevamento dei tentativi di sfruttamento risale al 7 ottobre 2026, alle ore 21:47 UTC. Questo è il momento in cui Patchstack ha visto l'attività, non la data in cui il bug è stato introdotto o reso pubblico.
Tutte le versioni fino alla 3.1.8.9 inclusa sono vulnerabili. La 3.1.8.10 è la prima build corretta, e il rapporto consiglia di passare alla versione attuale, la 4.0.1.
Il punteggio di gravità dipende dalla fonte. The Hacker News riporta un CVSS di 10,0. I dati del NVD indicano 9,8, con il vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, e classificano la debolezza come CWE-434 (caricamento senza restrizioni di un file di tipo pericoloso).
Perché un'immagine convalidata finisce per diventare un file PHP
Bricksforge è un'estensione per il page builder Bricks che fornisce animazioni, moduli avanzati e funzioni simili. Il bug si trova nella gestione dei moduli. Al momento del caricamento, il plugin controlla correttamente il tipo MIME del file. Quando il modulo viene inviato in un secondo momento, però, accetta per buoni i dati del file inviati dal browser. Patchstack afferma che non convalida il campo url all'interno del parametro temporaryFileUploads.
La descrizione del NVD e l'avviso di Wordfence illustrano la sequenza:
- L'attaccante richiede un nonce valido all'endpoint AJAX
bricksforge_regenerate_nonce, che non richiede autenticazione. - Carica un poliglotta GIF/PHP, cioè un'immagine autentica che contiene anche codice PHP. Supera il controllo MIME e finisce nella directory temporanea dei caricamenti.
- Invia un modulo il cui valore
filepunta a quell'immagine approvata, mentre il valoreurltermina con un'estensione PHP. - Fidandosi dei metadati inviati, il plugin scrive il contenuto dell'immagine nella posizione con nome PHP. Il codice incorporato viene eseguito non appena quel file viene richiesto.
The Hacker News elenca le conseguenze: esecuzione arbitraria di PHP, presa di controllo del sito, installazione di web shell, accesso ai dati sensibili e accesso persistente.
Patchstack ha osservato richieste dirette a /wp-json/bricksforge/v1/form_submit e a /wp-admin/admin-ajax.php con l'azione bricksforge_form_submit. Lo sfruttamento segnalato tenta anche di aggirare i filtri sulle estensioni. Usa suffissi PHP alternativi (.php5, .php7, .phtml), grafie con maiuscole e minuscole miste (.PHP, .Php, .pHp) e forme codificate (.%70hp, %2ephp, .%2570%2568%2570).
Com'è fatto il traffico
La telemetria di Patchstack registra 63 IP di origine distinti, sei dei quali sono responsabili di circa il 46% di tutte le richieste. Si distinguono due gruppi:
- Raffica di richieste identiche: 44 IP hanno inviato 56 richieste con lo stesso payload, tutte nel giro di pochi secondi.
- Sondaggio delle estensioni: tre IP hanno provato 25 varianti di estensioni PHP e di codifiche su un unico file temporaneo.
Patchstack legge entrambi i pattern come sfruttamento automatizzato tramite proxy a rotazione o infrastrutture distribuite. Con le sue parole, da sole non attribuiscono l'attività a un unico attore della minaccia.
I sei indirizzi più attivi, defanged come pubblicato:
177.75.57[.]20
23.97.62[.]146
84.247.60[.]125
38.154.185[.]97
150.109.16[.]166
153.75.90[.]146
Cosa dovrebbero fare i gestori dei siti
Aggiornare Bricksforge alla 4.0.1; la 3.1.8.10 è la versione corretta minima. Il rapporto consiglia inoltre di verificare eventuali segni di abusi precedenti:
- Controllare le richieste in arrivo a
/wp-json/bricksforge/v1/form_submitche contengono un parametrotemporaryFileUploads. - Cercare invii di moduli ripetuti.
- Ispezionare
/wp-content/uploads/bricksforge/tmp/alla ricerca di file PHP che non dovrebbero trovarsi lì.
Una campagna parallela: XSS memorizzato usato per installare una backdoor
Lo stesso rapporto descrive un caso separato. Gli attaccanti stanno sfruttando falle di cross-site scripting memorizzato (CWE-79) in due plugin non correlati per distribuire un payload JavaScript chiamato x.js. Il NVD assegna a entrambe le falle un punteggio di 7,2 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N), mentre The Hacker News riporta 7,1 per ciascuna.
- WPC Product Bundles for WooCommerce, CVE-2026-93836: sono interessate le versioni fino alla 8.6.6, e la 8.6.7 risolve il problema. Il punto d'ingresso è il parametro
qty. La validazione della quantità converte il valore in float, quindi una stringa che inizia con un numero passa mantenendo il suo HTML. Il markup viene poi salvato invariato nei metadati degli articoli dell'ordine, sotto la chiave_woosb_ids. - Ninja Forms, CVE-2026-94504: è interessata la versione 3.15.3, e la 3.15.4 la corregge. Il testo inviato in forma anonima tramite un'area di testo non RTE viene mostrato senza una codifica HTML sicura nell'editor legacy dei dati inviati. Lo script viene eseguito nell'origine dell'area di amministrazione di WordPress quando un amministratore apre l'URL diretto di invio noto all'attaccante.
Patchstack descrive x.js come un impianto post-sfruttamento che viene eseguito nel browser di un amministratore connesso. Sfrutta la sessione wp-admin di quella persona per installare un plugin malevolo, aggiungere un nuovo amministratore, attivare un ulteriore meccanismo di persistenza nascosto e inviare i risultati a un'infrastruttura controllata dagli attaccanti.
The Hacker News afferma che il plugin installato include un gestore di file senza autenticazione, raggiungibile con una richiesta diretta al suo file PHP principale. Crea anche un amministratore nascosto nella schermata Utenti e un «magic login URL» che accede automaticamente come l'amministratore più anziano del sito.
Aggiornare i due plugin impedisce ulteriori sfruttamenti, ma non rimuove un'infezione già presente, scrive l'articolo. Consiglia ai gestori di interrogare direttamente il database alla ricerca di amministratori nascosti, controllare la directory dei plugin obbligatori e analizzare i log del server web.
I dati del secondo trimestre 2026 di Wordfence
L'articolo riporta anche i dati di Wordfence per il secondo trimestre 2026. Ne risultano 2.073 vulnerabilità pubblicate per WordPress, di cui 182 ad alto rischio, con un aumento del 15,2% rispetto al trimestre precedente. Nel periodo sono stati compromessi circa 573.000 siti WordPress, un dato riferito all'intera piattaforma e non specifico per Bricksforge.
Le cinque vulnerabilità più prese di mira in questi dati:
| CVE | CVSS | Prodotto e versioni interessate | Tipo |
|---|---|---|---|
| CVE-2024-28000 | 9,8 | LiteSpeed Cache ≤ 6.3.0.1 | Assegnazione errata dei privilegi; escalation dei privilegi senza autenticazione |
| CVE-2019-9879 | 9,8 | WPGraphQL ≤ 0.2.3 | Registrazione di utenti amministratori tramite la mutation registerUser |
| CVE-2016-15042 | 9,8 | Frontend File Manager < 4.0; N-Media Post Front-end Form < 1.1 | Caricamento arbitrario di file |
| CVE-2023-28121 | 9,8 | WooCommerce Payments 4.8.0 – 5.6.1 | Bypass dell'autenticazione ed escalation dei privilegi |
| CVE-2025-3102 | 8,1 | SureTriggers ≤ 1.0.78 | Bypass dell'autenticazione che porta alla creazione di un account amministratore |
Due di queste dipendono dalla configurazione del sito, secondo il NVD. La CVE-2019-9879 si applica quando sono consentite le nuove registrazioni utente. La CVE-2025-3102 si applica quando il plugin è attivo ma non è configurato alcuna chiave API.
La maggior parte degli indirizzi IP attaccanti proviene dagli Stati Uniti, seguiti da Germania, Cechia, Australia, Norvegia, Francia, Ucraina, Paesi Bassi, Svizzera e Brasile.
