Uma falha de segurança de gravidade máxima no plugin Bricksforge para WordPress está sendo explorada ativamente, segundo a Patchstack.
A vulnerabilidade crítica, identificada como
CVE-2026-85097
e com pontuação CVSS de 10,0, permite que invasores sem autenticação enviem e executem código PHP arbitrário em sites vulneráveis. O problema pode levar à execução remota de código (RCE) e afeta as versões do Bricksforge até a 3.1.8.9. A correção foi disponibilizada na versão 3.1.8.10.
O Bricksforge é um plugin para WordPress anunciado como um “canivete suíço” para o Bricks, uma ferramenta visual de criação de sites. Entre seus recursos estão animações, formulários avançados e sequências de vídeo com rolagem.
A empresa de segurança WordPress Patchstack informou ter detectado tentativas de exploração da falha em 7 de outubro de 2026, às 21h47 UTC.
“O Bricksforge verifica o tipo MIME de um arquivo quando ele é enviado pela primeira vez. Porém, quando um formulário é enviado posteriormente, o plugin confia nos metadados do arquivo informados pelo cliente. Em especial, ele não verifica o campo ‘url’ dentro do parâmetro ‘temporaryFileUploads’”, informou a Patchstack.
Em linhas gerais, a vulnerabilidade decorre da validação insuficiente de um campo de URL no parâmetro ‘temporaryFileUploads’ durante o envio de um formulário. Um invasor pode explorar essa brecha para obter execução remota de código seguindo quatro etapas:
1. Solicitar um nonce válido pelo endpoint AJAX ‘bricksforge_regenerate_nonce’, que não exige autenticação.
2. Enviar um arquivo GIF/PHP poliglota, que é uma imagem válida, mas também contém código PHP. O arquivo passa pela verificação do tipo MIME e é armazenado no diretório temporário de envios.
3. Enviar um formulário no qual o caminho do campo ‘file’ aponta para a imagem validada, mas o campo ‘url’ termina com uma extensão PHP.
4. O Bricksforge confia nos metadados enviados e coloca o conteúdo do arquivo no caminho PHP. Quando esse arquivo é solicitado, o código incorporado é executado.
“Um invasor sem autenticação pode primeiro obter um nonce válido pelo endpoint AJAX ‘bricksforge_regenerate_nonce’ e, em seguida, enviar um arquivo GIF/PHP poliglota ao diretório temporário, onde a validação do tipo MIME é feita corretamente”, afirmou a Wordfence em um comunicado sobre a falha.
“Depois, o invasor pode enviar um formulário com um parâmetro ‘temporaryFileUploads’ criado para que o caminho do arquivo no servidor aponte para o GIF validado, enquanto o campo ‘url’, controlado pelo invasor, termine com a extensão .php.”
A exploração bem-sucedida pode permitir a execução de código PHP arbitrário no servidor. Com isso, o invasor pode assumir o controle do site WordPress, instalar web shells, ler dados confidenciais e manter acesso persistente.
Nos ataques observados pela Patchstack, os invasores tentaram explorar o endpoint da API REST do Bricksforge para envio de formulários, ‘/wp-json/bricksforge/v1/form_submit’, ou o endpoint ‘/wp-admin/admin-ajax.php’, usando a ação ‘bricksforge_form_submit’ e um parâmetro ‘temporaryFileUploads’ forjado.
Uma requisição representativa é:
{
"temporaryFileUploads": [
{
"field": "form-field-file",
"file": {
"file": "/var/www/example.com/wp-content/uploads/bricksforge/tmp/img_example.gif",
"url": "https://example.com/wp-content/uploads/bricksforge/tmp/img_example.php",
"type": "image/gif"
}
}
]
}
Segundo a Wordfence, os invasores exploram a incompatibilidade entre o argumento ‘file’, que indica um arquivo GIF ou PNG, e a URL, que aponta para um arquivo com conteúdo PHP.
Para contornar os filtros de extensão, as tentativas de exploração recorrem a extensões alternativas de PHP, como .php5, .php7 e .phtml, a variações de letras maiúsculas e minúsculas, como .PHP, .Php e .pHp, e a extensões codificadas, como .%70hp, %2ephp e .%2570%2568%2570.
A Patchstack identificou dois padrões de atividade em sua telemetria. No primeiro, 44 endereços IP enviaram 56 requisições idênticas em questão de segundos. No segundo, três endereços IP testaram 25 variações de extensões e codificações de PHP contra o mesmo arquivo temporário.
Segundo a empresa, os dois padrões indicam exploração automatizada por meio de servidores intermediários rotativos ou de uma infraestrutura distribuída. Por si só, eles não permitem atribuir a atividade a um único invasor.
A atividade foi registrada a partir de 63 endereços IP únicos. Seis deles responderam por cerca de 46% de todas as requisições:
- 177.75.57[.]20
- 23.97.62[.]146
- 84.247.60[.]125
- 38.154.185[.]97
- 150.109.16[.]166
- 153.75.90[.]146
A recomendação é atualizar o plugin para a versão mais recente, 4.0.1, para reduzir o risco. Administradores de sites também devem auditar as requisições recebidas pelo endpoint ‘/wp-json/bricksforge/v1/form_submit’ que contenham o parâmetro ‘temporaryFileUploads’. É importante ainda verificar envios repetidos de formulários e a presença de arquivos PHP inesperados em ‘/wp-content/uploads/bricksforge/tmp/’.
Falhas no WPC Product Bundles for WooCommerce e no Ninja Forms também são exploradas
A divulgação ocorre em meio à exploração de falhas de cross-site scripting (XSS) em dois plugins distintos para WordPress: WPC Product Bundles for WooCommerce (
CVE-2026-93836
, pontuação CVSS de 7,1) e Ninja Forms (
CVE-2026-94504
, pontuação CVSS de 7,1).
As falhas são usadas para distribuir um payload em JavaScript, chamado “x.js”, capaz de instalar um plugin com backdoor e criar contas administrativas fraudulentas.
O plugin malicioso inclui um gerenciador de arquivos que não exige autenticação e pode ser acessado por meio de uma requisição direta ao arquivo PHP principal. Ele também cria uma conta de administrador do WordPress oculta na tela de usuários e instala uma URL de acesso mágico, que autentica como o administrador mais antigo do site quem a possui.
“Trata-se de um implante de pós-exploração e persistência para WordPress, projetado para ser executado no navegador de um administrador conectado. Quando acionado, ele abusa da sessão autenticada da vítima no wp-admin para instalar um plugin malicioso do WordPress, criar uma nova conta de administrador, acionar outro mecanismo oculto de persistência e enviar os resultados para uma infraestrutura controlada pelo invasor”, afirmou a Patchstack.
Atualizar os plugins vulneráveis para a versão 8.6.7 do WPC Product Bundles for WooCommerce e a versão 3.15.4 do Ninja Forms impede novas tentativas de exploração, mas não remove uma infecção já existente. Administradores devem verificar a existência de contas ocultas consultando diretamente o banco de dados, inspecionar o diretório de plugins obrigatórios e revisar os registros do servidor web.
Tendências de exploração de falhas no WordPress no segundo trimestre de 2026
Dados da Wordfence indicam que 2.073 vulnerabilidades relacionadas ao WordPress foram divulgadas no segundo trimestre de 2026. O número de falhas de alto risco aumentou 15,2% em relação ao trimestre anterior, chegando a 182. Cerca de 573 mil sites WordPress foram comprometidos no período.
As cinco vulnerabilidades mais visadas por invasores foram:
-
CVE-2024-28000
, pontuação CVSS de 9,8: LiteSpeed Cache até a versão 6.3.0.1, elevação de privilégios sem autenticação.
-
CVE-2019-9879
, pontuação CVSS de 9,8: WPGraphQL até a versão 0.2.3, criação de usuários administrativos.
-
CVE-2016-15042
, pontuação CVSS de 9,8: Frontend File Manager anterior à versão 4.0 e N-Media Post Front-end Form anterior à versão 1.1, envio arbitrário de arquivos.
-
CVE-2023-28121
, pontuação CVSS de 9,8: WooCommerce Payments das versões 4.8.0 a 5.6.1, contorno de autenticação e elevação de privilégios.
-
CVE-2025-3102
, pontuação CVSS de 8,1: SureTriggers até a versão 1.0.78, criação de usuários administrativos sem autenticação.
A maioria dos endereços IP usados nos ataques teve origem nos Estados Unidos, seguidos por Alemanha, Chéquia, Austrália, Noruega, França, Ucrânia, Países Baixos, Suíça e Brasil.
“Um firewall robusto, a instalação rápida de correções para vulnerabilidades e configurações reforçadas ajudam a bloquear o tráfego malicioso antes que ele chegue ao site. Varreduras abrangentes ajudam a identificar vulnerabilidades, malware e alterações suspeitas que podem indicar uma tentativa de invasão. Alertas em tempo real sobre eventos críticos, tentativas de acesso e mudanças em arquivos ajudam a antecipar ameaças”, afirmou a Wordfence.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...