RCE sem autenticação no Bricksforge é explorada; atualize para 3.1.8.10

O que aconteceu

O plugin WordPress Bricksforge, usado por cerca de 6.000 sites segundo o Patchstack, tem falha que permite a invasores assumir o controle total do site sem senha. A falha (CVE-2026-85097) já é explorada em ataques reais desde 7 de outubro de 2026. A correção foi liberada pelo fabricante.

Por que importa

Um invasor pode executar código arbitrário, instalar web shells, alterar o conteúdo do site e ler dados sensíveis. O fabricante afirma que todo site com o Pro Forms ativo é afetado, inclusive formulários sem campos de upload. Os ataques são automatizados e distribuídos, com 63 IPs de origem registrados.

O que fazer

Atualize o Bricksforge imediatamente para 3.1.8.10 ou, de preferência, para a versão atual 4.0.1. Revise diretórios de upload por arquivos PHP inesperados (como login_admin_*.php) e os logs de acesso, pois a atualização não remove arquivos já plantados. Se não puder atualizar agora, aplique regra de WAF que bloqueie envios de formulário combinando caminho de imagem com URL de destino PHP.

Para o time técnico

CVE

CVE-2026-85097

Afetados

Bricksforge (plugin WordPress) · Bricksforge <= 3.1.8.9 (plugin WordPress); o fabricante afirma que todo site com Pro Forms ativo é afetado, mesmo sem campos de upload nos formulários.

Exploração

Exploração ativa relatada pelo Patchstack, com primeira tentativa observada em 7 de outubro de 2026 às 21:47 UTC; SOCRadar e SecurityWeek noticiam. Wordfence descreve a mesma cadeia em advisory.

Correção

Atualizar para 3.1.8.10 ou superior; release atual 4.0.1 (8 de outubro de 2026), cujo changelog lista a correção de segurança do upload do Pro Forms. Mitigação: regra de WAF ou virtual patching bloqueando envios de formulário que combinem caminho de imagem com URL de destino PHP.

Vetor

Bricksforge (plugin WordPress), manipulação de upload do Pro Forms. Upload arbitrário de arquivo sem autenticação levando a execução remota de código: o campo url dentro do parâmetro temporaryFileUploads não é validado no envio do formulário. Explorável em site exposto à internet com Pro Forms ativo; nenhum login é necessário.

Mais detalhes

Cadeia (SOCRadar, com base em Patchstack e Wordfence): nonce obtido sem autenticação no endpoint AJAX bricksforge_regenerate_nonce; upload de poliglota GIF/PHP que passa na checagem MIME e fica no diretório temporário; envio de formulário com caminho apontando para a imagem e url terminando em .php; o Bricksforge grava o conteúdo no destino PHP e o servidor executa o código. Quase todas as tentativas visaram POST /wp-json/bricksforge/v1/form_submit; uma atingiu /wp-admin/admin-ajax.php com a ação bricksforge_form_submit. Em 95% das requisições o caminho terminava em .gif ou .png; alguns destinos usavam login_admin_*.php em /wp-content/uploads/2026/10/. Variações de payload: extensões .php5.php7.php8.phtml.pht.phtm.phps; caixa alterada (.PHP.Php.pHp.PHTML); codificação URL simples e dupla (%2ephp.%70hp.%2570%2568%2570); campos path, name, originalFilename e url alterados ou ausentes. Dois clusters: 44 IPs enviaram 56 requisições idênticas em segundos; 3 IPs testaram 25 variações sobre o mesmo arquivo temporário. Patchstack avalia exploração automatizada sobre proxies rotativos ou infraestrutura distribuída, sem atribuir a um único ator. CVSS: 10.0 segundo SOCRadar e The Hacker News; 9.8 segundo SecurityWeek. MITRE ATT&CK T1190.

Linha do tempo

1. 26/10/2026 13:34

   Relatos confirmam exploração em ataques reais da falha CVSS 10.0.

Fontes 4 fontes

• Bricksforge version changelog Bricksforge
• Bricksforge WordPress Plugin Vulnerability Exploited in the Wild SecurityWeek
• Attackers Exploit CVSS 10.0 Bricksforge WordPress Flaw Enabling Unauthenticated RCE The Hacker News
• CVE-2026-85097: Bricksforge Flaw Exploited for Unauthenticated RCE SOCRadar

Ver todas as notícias