Les systèmes de surveillance de Patchstack ont détecté des tentatives d’exploitation visant le plugin WordPress Bricksforge à partir du 7 octobre à 21 h 47 UTC, soit environ neuf heures et demie avant la publication de la fiche CVE.
La vulnérabilité, référencée sous le nom CVE-2026-85097, permet à des attaquants non authentifiés d’importer et d’exécuter du code PHP sur des sites WordPress vulnérables. Aucune connexion ni interaction de l’utilisateur n’est nécessaire. Patchstack lui attribue une note de 10,0, tandis que Wordfence lui accorde un score CVSS critique de 9,8.
La faille affecte les versions de Bricksforge jusqu’à la 3.1.8.9 incluse. Les administrateurs doivent effectuer immédiatement la mise à jour et rechercher toute activité suspecte, en particulier si leurs sites étaient exposés avant l’application du correctif.
Qu’est-ce que la CVE-2026-85097 dans le plugin Bricksforge ?
Bricksforge est une extension commerciale du thème WordPress Bricks Builder, qui ajoute des fonctionnalités de formulaires, d’animations et de données dynamiques au constructeur de base.
Le calendrier de divulgation s’est accéléré. Le chercheur identifié sous le pseudonyme d.v4n_s3c a signalé la vulnérabilité, et la fiche CVE a été publiée le 8 octobre.
Selon l’analyse technique de Patchstack, la faille provient d’une validation insuffisante des métadonnées de fichiers contrôlées par l’utilisateur lors de l’envoi d’un formulaire.
La vulnérabilité est classée CWE-434, soit l’importation sans restriction d’un fichier d’un type dangereux. Elle affecte les versions de Bricksforge jusqu’à la 3.1.8.9 incluse.
Une attaque réussie peut permettre à un intrus d’exécuter du code PHP arbitraire, de modifier le contenu d’un site, d’accéder à des informations sensibles ou de maintenir son accès au moyen d’un web shell.
La vulnérabilité est distincte des failles d’exécution de code à distance du cœur de WordPress, qui concernent d’autres composants et conditions d’exploitation.
Comment la vulnérabilité de Bricksforge permet l’exécution de code
La cause première est un décalage entre l’endroit où Bricksforge vérifie la sécurité d’un fichier et celui où le plugin fait ensuite confiance aux données fournies par l’utilisateur.
Le plugin valide le type MIME d’un fichier lors de son importation initiale, mais fait ensuite confiance aux métadonnées fournies par le client lorsqu’un formulaire est envoyé, notamment à un urlchamp temporaryFileUploadsnon validé dans le paramètre
Un attaquant peut exploiter cette faiblesse en obtenant d’abord un nonce valide via un point d’accès non authentifié, puis en envoyant un fichier image spécialement conçu contenant du code PHP.
Lors d’un envoi de formulaire ultérieur, l’attaquant peut manipuler les métadonnées associées afin que Bricksforge écrive le contenu importé à un emplacement portant un nom de fichier PHP.
Lorsque le fichier ainsi créé est demandé, le serveur peut exécuter le code qu’il contient.
La fonctionnalité vulnérable se trouve dans le composant Pro Forms de Bricksforge, notamment dans le code associé à pro-forms/actions/init.php et actions/base.php.
Le risque est particulièrement sérieux, car l’attaquant n’a besoin ni d’identifiants administrateur ni d’un compte WordPress existant.
L’attaque ressemble également à d’autres vulnérabilités de plugins WordPress qui ont permis à des attaquants de déposer des fichiers PHP malveillants sur des serveurs en raison d’une validation insuffisante des fichiers importés.
La CVE-2026-85097 fait-elle l’objet d’une exploitation active ?
Oui. Patchstack a documenté des tentatives d’exploitation à partir du 7 octobre, avant que la fiche CVE ne soit rendue publique.
Sa télémétrie a enregistré une activité provenant de 63 adresses IP sources uniques.
Un groupe de 44 adresses IP a envoyé 56 requêtes identiques en l’espace de quelques secondes. Un autre groupe a utilisé trois adresses IP pour tester 25 extensions de noms de fichiers et variantes d’encodage différentes sur le même fichier importé.
Presque toutes les tentatives observées ciblaient le point d’accès de soumission des formulaires de l’API REST de Bricksforge :
POST /wp-json/bricksforge/v1/form_submit
Les attaquants ont testé des extensions PHP alternatives, des variantes en casse mixte et des noms de fichiers encodés, apparemment à la recherche de combinaisons capables de contourner le filtrage des extensions de fichiers.
Certains éléments malveillants utilisaient des noms de fichiers correspondant à login_admin_*.php et tentaient de placer directement les fichiers PHP dans les répertoires standard de téléversement de WordPress plutôt que dans le dossier temporaire de Bricksforge.
La répétition des requêtes et leurs variations indiquent des tentatives d’exploitation automatisées. Elles ne permettent pas de déterminer si l’activité provenait d’un seul acteur malveillant ou de plusieurs attaquants sans lien entre eux.
Il est important de distinguer une tentative d’exploitation d’une intrusion avérée. Les conclusions de Patchstack documentent des requêtes et des structures de charges utiles malveillantes, mais le rapport n’établit pas de nombre vérifié de sites effectivement compromis.
Les indicateurs que les administrateurs de sites doivent vérifier
Patchstack a identifié plusieurs indicateurs susceptibles d’aider les administrateurs à examiner toute activité suspecte :
- Requêtes vers
/wp-json/bricksforge/v1/form_submitcontenant un paramètretemporaryFileUploads. - Métadonnées d’importation associant un chemin de fichier image, tel que
.gifou.png, à une URL de destination liée à PHP. - Soumissions répétées de formulaires faisant varier les extensions de fichiers, la casse ou les caractères encodés.
- Fichiers PHP inattendus dans
/wp-content/uploads/bricksforge/tmp/ou dans d’autres répertoires de téléversement de WordPress. - Fichiers nommés
login_admin_*.phpou requêtes visant à exécuter des fichiers PHP nouvellement créés.
Les administrateurs doivent examiner les journaux pertinents du serveur web, l’activité WordPress et les modifications du système de fichiers remontant au moins au 7 octobre.
L’application du correctif empêche de nouvelles exploitations du code vulnérable, mais elle ne supprime pas automatiquement les fichiers ni les comptes créés lors d’une compromission antérieure.
Les organisations qui enquêtent sur une activité suspecte peuvent également consulter les modes opératoires établis des attaques par web shell contre WordPress afin de déterminer si des fichiers malveillants ont déjà été déployés.
Comment corriger la CVE-2026-85097
La recommandation immédiate consiste à mettre Bricksforge à jour vers la dernière version prise en charge.
Patchstack identifie 3.1.8.10 ou une version ultérieure comme correctif pour les installations concernées en version 3.x. Le journal des modifications officiel de Bricksforge confirme que la CVE-2026-85097 a également été corrigée dans la version 4.0.0.
L’éditeur a ensuite publié la version 4.0.1 le 8 octobre pour corriger un problème de sécurité connexe lié à l’importation de fichiers dans Pro Forms. Ce problème affectait les sites où Pro Forms était actif, y compris ceux dont les formulaires ne comportaient aucun champ d’importation.
Bricksforge 4.0.2, publiée le 13 octobre, est la dernière version documentée.Elle renforce notamment la sécurité des points d’accès REST, améliore les protections entourant les importations temporaires et corrige un problème d’importation d’images introduit dans la version 4.0.1.
Les administrateurs doivent installer la dernière version prise en charge via le canal de distribution ou le mécanisme de mise à jour officiel de Bricksforge, puis vérifier la version installée.
Ne supposez pas qu’une ancienne installation est protégée simplement parce que le tableau de bord WordPress n’affiche aucune mise à jour en attente.
Bricksforge étant distribué commercialement plutôt que par l’intermédiaire du répertoire de plugins WordPress.org, les administrateurs doivent vérifier le mécanisme de mise à jour et l’état de la licence du plugin.
Pour les sites utilisant Pro Forms, il est particulièrement important de vérifier la version installée. L’éditeur confirme que le problème connexe corrigé dans la version 4.0.1 affecte les installations de Pro Forms même lorsque les formulaires ne comportent aucun champ d’importation de fichiers visible.
Si une mise à jour immédiate est impossible, Patchstack fournit une règle RapidMitigate pour la CVE-2026-85097, capable de bloquer les tentatives d’exploitation connues au niveau du trafic.
Cette mesure d’atténuation offre une protection temporaire, mais ne remplace pas l’application du correctif logiciel.
Les propriétaires de sites doivent également inspecter les répertoires de téléversement à la recherche de fichiers PHP inattendus, vérifier que les comptes administrateurs n’ont pas subi de modifications non autorisées et examiner les requêtes suspectes enregistrées avant l’installation du correctif.
Si une compromission est suspectée, les administrateurs doivent suivre leurs procédures de réponse aux incidents avant de remettre le site concerné en production.
Ce que les propriétaires de sites doivent faire maintenant
Les tâches les plus urgentes consistent à identifier les installations Bricksforge concernées, à appliquer la dernière version corrigée et à rechercher tout signe d’activité malveillante.
Patchstack a documenté des tentatives d’exploitation automatisées, mais ces observations ne permettent pas d’établir combien de sites ont été compromis.
Les administrateurs doivent considérer l’activité signalée comme une raison d’enquêter sur les sites vulnérables plutôt que d’attendre un rapport confirmant une compromission.
Bricksforge a clarifié l’historique de ses correctifs. L’éditeur confirme que la CVE-2026-85097 a été corrigée dans les versions 3.1.8.10 et 4.0.0, et que des protections supplémentaires pour Pro Forms ont été introduites dans les versions suivantes.
Pour les sites WordPress utilisant Bricksforge, l’installation de la dernière version prise en charge et l’examen des journaux remontant au 7 octobre doivent être prioritaires.
À lire également : Une vulnérabilité d’élévation de privilèges de WordPress a également exposé des sites à des attaques non authentifiées, ce qui rappelle la nécessité de maintenir les plugins tiers à jour.