Die Überwachungssysteme von Patchstack registrierten ab dem 7. Oktober um 21:47 UTC Ausnutzungsversuche gegen das Bricksforge-WordPress-Plugin – rund neuneinhalb Stunden, bevor der CVE-Eintrag veröffentlicht wurde.
Die als CVE-2026-85097 geführte Schwachstelle ermöglicht nicht authentifizierten Angreifern, PHP-Code auf verwundbaren WordPress-Websites hochzuladen und auszuführen. Eine Anmeldung oder Interaktion durch Benutzer ist nicht erforderlich. Patchstack bewertet sie mit 10,0, während Wordfence einen kritischen CVSS-Score von 9,8 vergibt.
Die Schwachstelle betrifft Bricksforge bis einschließlich Version 3.1.8.9. Administratoren sollten sofort aktualisieren und verdächtige Aktivitäten untersuchen – insbesondere, wenn ihre Websites vor dem Einspielen des Patches ungeschützt waren.
Was ist CVE-2026-85097 im Bricksforge-Plugin?
Bricksforge ist ein kommerzielles Add-on für das WordPress-Theme Bricks Builder, das den grundlegenden Builder um Formulare, Animationen und Funktionen für dynamische Daten ergänzt.
Die Offenlegung erfolgte in kurzer Folge. Der als d.v4n_s3c geführte Forscher meldete die Schwachstelle; der CVE-Eintrag wurde am 8. Oktober veröffentlicht.
Laut der technischen Analyse von Patchstack beruht die Schwachstelle auf einer unzureichenden Validierung benutzerkontrollierter Dateimetadaten bei der Übermittlung von Formularen.
Die Schwachstelle ist als CWE-434 klassifiziert: uneingeschränktes Hochladen einer Datei mit einem gefährlichen Typ. Sie betrifft Bricksforge bis einschließlich Version 3.1.8.9.
Ein erfolgreicher Angriff kann es einem Eindringling ermöglichen, beliebigen PHP-Code auszuführen, Websiteinhalte zu verändern, auf vertrauliche Informationen zuzugreifen oder über eine Webshell dauerhaften Zugriff einzurichten.
Die Schwachstelle ist unabhängig von zuvor gemeldeten Schwachstellen zur Remotecodeausführung im WordPress-Kern, die andere betroffene Komponenten und Ausnutzungsbedingungen betreffen.
Wie die Bricksforge-Schwachstelle die Codeausführung ermöglicht
Die Ursache ist ein Widerspruch zwischen dem Ort, an dem Bricksforge die Sicherheit einer Datei prüft, und dem Ort, an dem das Plugin später den Benutzereingaben vertraut.
Das Plugin validiert den MIME-Typ einer Datei beim ersten Hochladen, vertraut bei einer späteren Formularübermittlung jedoch vom Client bereitgestellten Metadaten, einschließlich eines nicht validierten url Felds im temporaryFileUploads Parameter.
Ein Angreifer kann diese Schwachstelle ausnutzen, indem er zunächst über einen nicht authentifizierten Endpunkt einen gültigen Nonce erhält und anschließend eine speziell präparierte Bilddatei mit PHP-Code übermittelt.
Bei einer späteren Formularübermittlung kann der Angreifer die zugehörigen Metadaten manipulieren, sodass Bricksforge den hochgeladenen Inhalt an einem Ort mit einem PHP-Dateinamen speichert.
Wenn die resultierende Datei angefordert wird, führt der Server möglicherweise den eingebetteten Code aus.
Die verwundbare Funktionalität befindet sich in der Pro-Forms-Komponente von Bricksforge, einschließlich des Codes im Zusammenhang mit pro-forms/actions/init.php und actions/base.php.
Das Risiko ist besonders gravierend, weil ein Angreifer weder Administrator-Zugangsdaten noch ein bestehendes WordPress-Konto benötigt.
Der Angriff ähnelt außerdem anderen Schwachstellen in WordPress-Plugins, über die Angreifer aufgrund unzureichender Upload-Validierung bösartige PHP-Dateien auf Servern platzieren konnten.
Wird CVE-2026-85097 aktiv ausgenutzt?
Ja. Patchstack dokumentierte ab dem 7. Oktober Ausnutzungsversuche – noch bevor der CVE-Eintrag öffentlich verfügbar war.
Die Telemetriedaten erfassten Aktivitäten von 63 eindeutigen Quell-IP-Adressen.
Ein Cluster aus 44 IP-Adressen sendete innerhalb weniger Sekunden 56 identische Anfragen. Ein weiterer Cluster nutzte drei IP-Adressen, um 25 verschiedene Dateinamenerweiterungen und Kodierungsvarianten gegen dieselbe hochgeladene Datei zu testen.
Nahezu alle beobachteten Versuche zielten auf den REST-API-Endpunkt für die Formularübermittlung von Bricksforge:
POST /wp-json/bricksforge/v1/form_submit
Angreifer testeten alternative PHP-Erweiterungen, Schreibvarianten mit unterschiedlicher Groß- und Kleinschreibung sowie kodierte Dateinamen – offenbar auf der Suche nach Kombinationen, die die Filterung von Dateierweiterungen umgehen konnten.
Einige Payloads verwendeten Dateinamen, die login_admin_*.php entsprachen, und versuchten, PHP-Dateien direkt in standardmäßigen WordPress-Upload-Verzeichnissen statt im temporären Ordner von Bricksforge abzulegen.
Die wiederholten Anfragen und Varianten deuten auf automatisierte Ausnutzungsversuche hin. Sie belegen jedoch nicht, ob die Aktivitäten von einem einzelnen Angreifer oder von mehreren voneinander unabhängigen Angreifern ausgingen.
Es ist wichtig, zwischen einem Ausnutzungsversuch und einem bestätigten Eindringen zu unterscheiden. Die Ergebnisse von Patchstack dokumentieren bösartige Anfragen und Payload-Strukturen, der Bericht weist jedoch keine verifizierte Zahl erfolgreich kompromittierter Websites aus.
Indikatoren, die Websiteadministratoren prüfen sollten
Patchstack hat mehrere Indikatoren identifiziert, die Administratoren bei der Untersuchung verdächtiger Aktivitäten helfen können:
- Anfragen an
/wp-json/bricksforge/v1/form_submitmit einemtemporaryFileUploadsParameter. - Upload-Metadaten, die einen Bilddateipfad wie
.gifoder.pngmit einer PHP-bezogenen Ziel-URL verknüpfen. - Wiederholte Formularübermittlungen, bei denen Dateierweiterungen, Groß- und Kleinschreibung oder kodierte Zeichen durchprobiert werden.
- Unerwartete PHP-Dateien in
/wp-content/uploads/bricksforge/tmp/oder anderen WordPress-Upload-Verzeichnissen. - Dateien mit den Namen
login_admin_*.phpoder Anfragen, die versuchen, neu erstellte PHP-Dateien auszuführen.
Administratoren sollten relevante Webserver-Logs, WordPress-Aktivitäten und Änderungen am Dateisystem mindestens bis zum 7. Oktober zurückverfolgen.
Das Einspielen des Patches verhindert eine weitere Ausnutzung des verwundbaren Codes, entfernt jedoch nicht automatisch Dateien oder Konten, die bei einer früheren Kompromittierung erstellt wurden.
Organisationen, die verdächtige Aktivitäten untersuchen, können außerdem etablierte Angriffsmuster von WordPress-Webshells heranziehen, um zu prüfen, ob bereits bösartige Dateien bereitgestellt wurden.
So patchen Sie CVE-2026-85097
Die unmittelbare Empfehlung lautet, Bricksforge auf die neueste unterstützte Version zu aktualisieren.
Patchstack nennt 3.1.8.10 oder höher als Lösung für betroffene 3.x-Installationen. Das offizielle Änderungsprotokoll von Bricksforge bestätigt, dass CVE-2026-85097 auch in Version 4.0.0 behoben wurde.
Der Anbieter veröffentlichte anschließend am 8. Oktober Version 4.0.1, um ein damit zusammenhängendes Sicherheitsproblem beim Datei-Upload von Pro Forms zu beheben. Dieses Problem betraf Websites mit aktiviertem Pro Forms, auch wenn deren Formulare keine Upload-Felder enthielten.
Bricksforge 4.0.2, veröffentlicht am 13. Oktober, ist die neueste dokumentierte Version.Sie führt zusätzliche Sicherheitsverstärkungen für REST-Endpunkte ein, verbessert den Schutz temporärer Uploads und behebt ein in 4.0.1 eingeführtes Problem beim Hochladen von Bildern.
Administratoren sollten die neueste unterstützte Version über die offizielle Distribution oder den Aktualisierungsmechanismus von Bricksforge installieren und die installierte Version überprüfen.
Gehen Sie nicht davon aus, dass eine ältere Installation geschützt ist, nur weil das WordPress-Dashboard kein ausstehendes Update anzeigt.
Da Bricksforge kommerziell und nicht über das Plugin-Verzeichnis von WordPress.org vertrieben wird, sollten Administratoren den eigenen Aktualisierungsmechanismus und den Lizenzstatus des Plugins prüfen.
Für Websites mit Pro Forms ist die Überprüfung der installierten Version besonders wichtig. Der Anbieter bestätigt, dass das in 4.0.1 behobene verwandte Problem Pro-Forms-Installationen auch dann betrifft, wenn Formulare keine sichtbaren Datei-Upload-Felder enthalten.
Falls ein sofortiges Update nicht möglich ist, stellt Patchstack eine RapidMitigate-Regel für CVE-2026-85097 bereit, die bekannte Ausnutzungsversuche auf der Verkehrsebene blockieren kann.
Diese Gegenmaßnahme bietet vorübergehenden Schutz, ersetzt jedoch nicht das Einspielen des Software-Fixes.
Websitebetreiber sollten außerdem die Upload-Verzeichnisse auf unerwartete PHP-Dateien prüfen, Administratorkonten auf unbefugte Änderungen kontrollieren und verdächtige Anfragen untersuchen, die vor der Installation des Patches protokolliert wurden.
Besteht der Verdacht auf eine Kompromittierung, sollten Administratoren ihre Verfahren zur Reaktion auf Sicherheitsvorfälle befolgen, bevor sie die betroffene Website wieder in den Produktivbetrieb nehmen.
Was Websitebetreiber jetzt tun sollten
Die dringendsten Aufgaben bestehen darin, betroffene Bricksforge-Installationen zu identifizieren, die neueste sicherheitsbereinigte Version einzuspielen und nach Anzeichen bösartiger Aktivitäten zu suchen.
Patchstack hat automatisierte Ausnutzungsversuche dokumentiert, doch diese Beobachtungen belegen nicht, wie viele Websites kompromittiert wurden.
Administratoren sollten die gemeldeten Aktivitäten als Anlass nehmen, verwundbare Websites zu untersuchen, statt auf einen bestätigten Bericht über eine Kompromittierung zu warten.
Bricksforge hat seine Patch-Historie klargestellt. Der Anbieter bestätigt, dass CVE-2026-85097 in den Versionen 3.1.8.10 und 4.0.0 behoben wurde und nachfolgende Versionen zusätzliche Schutzmaßnahmen für Pro Forms eingeführt haben.
Für WordPress-Websites mit Bricksforge sollten die Installation der neuesten unterstützten Version und die Überprüfung der Logs bis zurück zum 7. Oktober Priorität haben.
Auch lesenswert: Eine frühere WordPress-Schwachstelle zur Rechteausweitung setzte Websites ebenfalls unautorisierten Angriffen aus und unterstreicht damit, wie wichtig es ist, Drittanbieter-Plugins aktuell zu halten.