V Bricksforge pre WordPress sa aktívne zneužíva kritická chyba CVE-2026-85097

Zraniteľnosť v doplnku Bricksforge umožňuje bez prihlásenia nahrať súbor a spustiť PHP kód na serveri. Patchstack eviduje pokusy o jej zneužitie a odporúča okamžitú aktualizáciu.

CVE-2026-85097 Bricksforge je kritická zraniteľnosť v doplnku pre WordPress, pri ktorej už boli zaznamenané pokusy o aktívne zneužitie. Patchstack uviedol, že aktivitu pozoroval od 7. októbra 2026 o 21:47:17 UTC. Chyba môže neautentifikovanému útočníkovi umožniť nahrať ľubovoľný súbor a následne na serveri spustiť PHP kód.

Ohrozené sú inštalácie Bricksforge vo verzii 3.1.8.9 a starších, ak používajú dotknutú funkcionalitu Pro Forms. Patchstack odporúča aktualizovať najmenej na verziu 3.1.8.10. Výrobca 8. októbra vydal aj Bricksforge 4.0.1, ktorého zoznam zmien uvádza bezpečnostnú opravu nahrávania súborov v Pro Forms.

CVE-2026-85097 Bricksforge: problém je v nahrávaní súborov

Mechanizmus útoku súvisí s nedostatočnou kontrolou poľa url v parametri temporaryFileUploads pri odoslaní formulára. Útočník tak podľa dostupného popisu nemusí mať účet vo WordPress ani sa prihlásiť do administrácie.

Pri úspešnom zneužití môže útočník na server dostať škodlivý PHP súbor a spustiť ho. Medzi možné následky patrí prevzatie webu, nasadenie webshellu alebo odcudzenie dát. Správcovia by preto mali preveriť, či majú Bricksforge nainštalovaný a či na webe používajú Pro Forms s nahrávaním súborov.

Kritické hodnotenie, rozdielne skóre

NVD pri zraniteľnosti eviduje hodnotenie CVSS 3.1 9,8, ktoré pochádza od CNA Wordfence. Patchstack ju hodnotí skóre CVSS 10,0. Obe hodnotenia zaraďujú chybu medzi kritické bezpečnostné problémy; rozdiel v skóre nemení potrebu nasadiť dostupnú opravu.

Patchstack potvrdil pozorované pokusy o zneužitie, nie však celkový počet úspešne kompromitovaných webov. Nezávisle preto nie je potvrdené, koľko stránok útočníci skutočne napadli.

Čo majú správcovia urobiť

  • Overiť verziu doplnku Bricksforge na všetkých spravovaných WordPress weboch.
  • Aktualizovať aspoň na Bricksforge 3.1.8.10, prípadne na verziu 4.0.1 s výrobcom uvedenou opravou Pro Forms file upload.
  • Skontrolovať web a server na neočakávané nahrané PHP súbory alebo iné známky kompromitácie, ak bol doplnok v zasiahnutej verzii aktívny.

Ďalší vývoj ukáže, či americká agentúra CISA zaradí CVE-2026-85097 do katalógu Known Exploited Vulnerabilities. Dôležité budú aj prípadné správy o potvrdených kompromitáciách a detekčné indikátory od Patchstacku alebo výrobcu.

Súvisiace články

Zdroje

  • Patchstack – Patchstack potvrdzuje pozorované aktívne pokusy o zneužitie, popisuje techniku útoku, zasiahnuté verzie a opravu 3.1.8.10.
  • Bricksforge changelog – Výrobca uvádza bezpečnostnú opravu nahrávania súborov v Pro Forms vo verzii 4.0.1 z 8. októbra 2026.
  • NVD – Záznam CVE potvrdzuje rozsah zasiahnutých verzií, typ chyby a hodnotenie CNA Wordfence CVSS 9,8.
  • SecurityWeek – Nezávisle informuje o zneužívaní zraniteľnosti v praxi.

Overené a aktualizované: 13. 10. 2026 06:28

Značky
Zdieľanie

Súvisiace