Patchstackの監視システムは、CVEレコードが公開される約9時間半前にあたる10月7日21時47分（UTC）から、BricksforgeのWordPressプラグインに対する悪用の試みを検知した。
CVE-2026-85097として追跡されているこの脆弱性により、認証されていない攻撃者が脆弱なWordPressサイトにPHPコードをアップロードして実行できる。ログインもユーザーの操作も必要ない。Patchstackは10.0と評価し、WordfenceもCVSSで9.8の重大（Critical）と評価している。
この欠陥は、バージョン3.1.8.9までのBricksforgeに影響する。管理者は直ちに更新し、不審な活動を調査すべきだ。特に、パッチ適用前にサイトが公開状態にあった場合は注意が必要である。
BricksforgeプラグインのCVE-2026-85097とは？
Bricksforgeは、Bricks BuilderのWordPressテーマ向け商用アドオンであり、ベースとなるビルダーにフォーム、アニメーション、動的データ機能を追加する。
情報公開から修正までのタイムラインは速かった。d.v4n_s3cとしてクレジットされた研究者が脆弱性を報告し、CVEレコードは10月8日に公開された。
Patchstackの技術分析によると、この欠陥はフォーム送信時にユーザーが制御するファイルメタデータの検証が不十分なことに起因する。
この脆弱性はCWE-434（危険な種類のファイルの無制限アップロード）に分類される。Bricksforgeのバージョン3.1.8.9以前（同バージョンを含む）に影響する。
攻撃に成功すると、侵入者は任意のPHPコードを実行したり、Webサイトのコンテンツを改変したり、機密情報にアクセスしたり、Webシェルを通じて永続的なアクセスを確立したりできる。
この脆弱性は、以前報告されたWordPressコアのリモートコード実行の脆弱性とは別のものであり、影響を受けるコンポーネントと悪用条件も異なる。
Bricksforgeの脆弱性がコード実行を可能にする仕組み
根本原因は、Bricksforgeがファイルの安全性を確認する場所と、その後ユーザー入力を信頼する場所が一致していないことにある。
このプラグインは、ファイルが最初にアップロードされた時点ではMIMEタイプを検証するが、後でフォームが送信される際には、クライアントから提供されたメタデータを信頼する。その中には、検証されていないurlフィールドをtemporaryFileUploadsパラメーター内で信頼する処理も含まれる。
攻撃者はまず、認証なしで利用できるエンドポイントから有効なnonceを取得し、PHPコードを含む細工した画像ファイルを送信することで、この弱点を悪用できる。
その後のフォーム送信時に、攻撃者は関連するメタデータを操作し、Bricksforgeがアップロードされたコンテンツを、PHP拡張子のファイル名を持つ場所に書き込むよう仕向けることができる。
生成されたファイルがリクエストされると、サーバーは埋め込まれたコードを実行する可能性がある。
脆弱な機能はBricksforgeのPro Formsコンポーネントにあり、そこにはpro-forms/actions/init.phpおよびactions/base.php.
に関連するコードも含まれる。
この攻撃は、他のWordPressプラグインの脆弱性とも類似しており、アップロード時の検証が不十分なために、攻撃者が悪意のあるPHPファイルをサーバー上に配置できていた。
CVE-2026-85097は実際に悪用されているのか？
はい。Patchstackは、CVEレコードが一般公開される前の10月7日から、悪用の試みが始まっていたことを記録している。
同社のテレメトリーには、63個の固有の送信元IPアドレスからの活動が記録された。
44個のIPアドレスからなる1つのクラスターは、数秒以内に同一のリクエストを56件送信した。別のクラスターは、3個のIPアドレスを使い、同じアップロード済みファイルに対して25種類のファイル名拡張子とエンコード形式を試した。
確認された試みのほぼすべてが、BricksforgeのREST APIフォーム送信エンドポイントを標的にしていた。
POST /wp-json/bricksforge/v1/form_submit
攻撃者は、PHPの別の拡張子、大文字と小文字を混在させた形式、エンコードされたファイル名を試しており、ファイル拡張子のフィルタリングを回避できる組み合わせを探していたとみられる。
一部のペイロードでは、特定のパターンに一致するファイル名を使用しlogin_admin_*.php、Bricksforgeの一時フォルダーではなく、標準のWordPressアップロードディレクトリーにPHPファイルを直接配置しようとしていた。
繰り返されるリクエストとそのバリエーションは、自動化された悪用の試みであることを示している。ただし、活動が単一の脅威アクターによるものか、無関係な複数の攻撃者によるものかは分からない。
悪用の試みと、侵入が確認された状態を区別することが重要だ。Patchstackの調査結果は悪意のあるリクエストとペイロードの構造を記録したものだが、実際に侵害されたWebサイトの確定数を示すものではない。
サイト管理者が確認すべき侵害の兆候
Patchstackは、管理者が不審な活動を調査する際に役立つ可能性のある、複数の兆候を特定している。
- 次のエンドポイントへのリクエストで、
/wp-json/bricksforge/v1/form_submitあるtemporaryFileUploadsパラメーターを含むもの。 - 画像ファイルのパス（例えば
.gifまたは.png）と、PHP関連の宛先URLを組み合わせたアップロードメタデータ。 - ファイル名の拡張子、大文字・小文字、エンコードされた文字を変えながら繰り返されるフォーム送信。
- 次のディレクトリー内にある予期しないPHPファイル、
/wp-content/uploads/bricksforge/tmp/またはその他のWordPressアップロードディレクトリー。 - 特定の名前のファイル、
login_admin_*.phpまたは新たに作成されたPHPファイルを実行しようとするリクエスト。
管理者は、少なくとも10月7日までさかのぼって、関連するWebサーバーログ、WordPress上の活動、ファイルシステムの変更を確認すべきだ。
パッチを適用すれば脆弱なコードを介したさらなる悪用は防げるが、以前の侵害時に作成されたファイルやアカウントが自動的に削除されるわけではない。
不審な活動を調査する組織は、悪意のあるファイルがすでに展開されていないかを判断する際、確立されたWordPressのWebシェル攻撃パターンも確認するとよい。
CVE-2026-85097にパッチを適用する方法
当面の推奨策は、Bricksforgeをサポート対象の最新リリースに更新することだ。
Patchstackは、3.1.8.10以降を影響を受ける3.xインストール環境の修正版と位置付けている。Bricksforgeの公式変更履歴では、CVE-2026-85097がバージョン4.0.0でも修正されたことを確認できる。
ベンダーはその後、関連するPro Formsのファイルアップロードセキュリティ問題に対処するため、10月8日に4.0.1をリリースした。この問題はPro Formsを有効にしているサイトに影響し、フォームにアップロードフィールドが含まれていないサイトも対象となる。
10月13日にリリースされたBricksforge 4.0.2は、現時点で確認できる最新のリリースだ。同バージョンではRESTエンドポイント全体のセキュリティ強化、一時アップロード周辺の保護強化、4.0.1で導入された画像アップロードの問題の修正が行われている。
管理者は、Bricksforgeの公式配布元または更新機能を通じてサポート対象の最新リリースをインストールし、インストール済みのバージョンを確認すべきだ。
WordPressのダッシュボードに保留中の更新が表示されないからといって、古いインストール環境が保護されていると思い込んではならない。
BricksforgeはWordPress.orgのプラグインディレクトリーではなく商用経路で配布されているため、管理者はプラグイン独自の更新機能とライセンス状態を確認すべきだ。
Pro Formsを実行しているサイトでは、インストール済みのバージョンを確認することが特に重要だ。ベンダーは、4.0.1で対処された関連問題が、フォームに目に見えるファイルアップロードフィールドがない場合でもPro Formsのインストール環境に影響すると確認している。
直ちに更新できない場合、PatchstackはCVE-2026-85097向けのRapidMitigateルールを提供しており、通信レイヤーで既知の悪用の試みをブロックできる。
この緩和策は一時的な保護を提供するが、ソフトウェアの修正を適用する代わりにはならない。
サイト所有者は、アップロードディレクトリーに予期しないPHPファイルがないか確認し、管理者アカウントに不正な変更がないか調べ、パッチをインストールする前に記録された不審なリクエストを調査すべきだ。
侵害が疑われる場合、管理者は影響を受けたWebサイトを本番環境に戻す前に、インシデント対応手順に従うべきだ。
サイト所有者が次に行うべきこと
最も緊急性の高い作業は、影響を受けるBricksforgeのインストール環境を特定し、セキュリティ修正版の最新リリースを適用し、悪意のある活動の証拠がないか確認することだ。
Patchstackは自動化された悪用の試みを記録しているが、その観測結果から、侵害されたWebサイトの数までは分からない。
管理者は、侵害が確認されたとの報告を待つのではなく、報告された活動を脆弱なサイトの調査を始める理由として捉えるべきだ。
Bricksforgeはパッチの履歴を明確にした。ベンダーによると、CVE-2026-85097はバージョン3.1.8.10と4.0.0で修正され、その後のリリースではPro Formsの保護がさらに強化された。
Bricksforgeを実行しているWordPressサイトでは、サポート対象の最新リリースをインストールし、10月7日までさかのぼってログを確認することを優先すべきだ。
関連記事：以前発見されたWordPressの権限昇格脆弱性も認証なしの攻撃にWebサイトをさらし、サードパーティープラグインを最新の状態に保つ必要性を改めて示した。