Bricksforge: kritická chyba s nahráváním souborů se už zneužívá (CVE-2026-85097)

Patchstack 8. října 2026 zveřejnil kritickou zranitelnost v pluginu Bricksforge pro WordPress, vedenou jako CVE-2026-85097. Útočník se nemusí přihlásit. Nahraje na web soubor s PHP kódem a server ho spustí. Odtud může nasadit webshell (skript pro vzdálené ovládání serveru), měnit obsah webu, číst citlivá data a zajistit si trvalý přístup. Skóre CVSS je 10,0, tedy maximum. Útoky už probíhají: první pokus Patchstack zaznamenal 7. října 2026 ve 21:47 UTC.

Koho se to týká

Zranitelné jsou všechny verze Bricksforge až do 3.1.8.9 včetně. Oprava je ve verzi 3.1.8.10. Bricksforge je doplněk pro vizuální nástroj Bricks Builder. Pokud ho na webu nemáte, tato chyba se vás netýká. Pokud ho máte, pokračujte krokami níže.

Jak útok funguje

Zjednodušeně: plugin zkontroluje, že nahrávaný soubor je obrázek, ale pak uvěří formuláři, kam ho má uložit. Útočník mu podstrčí obrázek, který je zároveň PHP kód, a nechá ho uložit jako soubor s příponou PHP. Technicky plugin kontroluje typ souboru (MIME) při prvním nahrání, ale při odeslání formuláře věří údajům od klienta. Nekontroluje pole url v parametru temporaryFileUploads. Útok má čtyři kroky:

1. Útočník si vyžádá platný nonce (jednorázový bezpečnostní token) z veřejně dostupného AJAX endpointu bricksforge_regenerate_nonce.
2. Nahraje soubor, který je zároveň platný obrázek GIF a obsahuje PHP kód. Kontrolou typu projde a skončí v dočasné složce.
3. Odešle formulář, ve kterém cesta ukazuje na tento obrázek, ale url končí příponou PHP.
4. Plugin uvěří odeslaným údajům a obsah souboru uloží na PHP adresu. Když se na tento soubor někdo dotáže přes web, server kód spustí.

Co Patchstack vidí v provozu

Útoky jsou automatizované a chodí z mnoha IP adres (Patchstack jich napočítal 63). Útočníci přitom zkoušejí řadu variant přípon souboru, aby obešli filtrování.

Co udělat dnes

1. Zkontrolujte verzi. V administraci otevřete Pluginy → Nainstalované pluginy. Pokud je tam Bricksforge ve verzi 3.1.8.9 nebo nižší, jste zranitelní.
2. Aktualizujte. Na verzi 3.1.8.10 nebo novější, hned, nebo to dnes zadejte správci webu. Naše rada: mějte před aktualizací čerstvou zálohu, ale kvůli ní update neodkládejte.
3. Hledejte stopy. Týká se webů, na kterých běžela verze do 3.1.8.9 bez ochrany, zvlášť od 7. října. Patchstack u nich radí projít historické logy a server. Podle nás oprava pluginu sama už nahrané soubory neodstraní.
   • Soubory: ve složce /wp-content/uploads/, včetně podsložky bricksforge/tmp/, hledejte soubory s příponou .php. Podezřelé jsou hlavně názvy login_admin_*.php.
   • Logy: hledejte požadavky na /wp-json/bricksforge/v1/form_submit s parametrem temporaryFileUploads a přístupy na nově vytvořené PHP soubory ve složkách uploads.
   • Když něco najdete (naše doporučení, ne Patchstacku): soubor nemažte naslepo. Zavolejte vývojáře nebo hosting a počítejte s obnovou z čisté zálohy a změnou hesel.

Pokud už Patchstack používáte, má pro tuto chybu pravidlo RapidMitigate, které útoky blokuje na úrovni provozu bez zásahu do kódu pluginu. Podle Patchstacku bylo aktivní dřív, než přišel první útok. Bez Patchstacku zbývá jen aktualizace. Aktualizace na 3.1.8.10 nebo novější ale i tak zůstává nutná.

Pokud si nejste jistí, co v souborech a logu hledat, můžeme web projít v rámci bezpečnostního auditu.