Fecha de emisión: 12 de octubre de 2026
CVE ID: CVE-2026-85097
Severidad: CRÍTICA — CVSS 3.1: 9.8
Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Tipo de vulnerabilidad: CWE-434: Carga de archivos peligrosos sin restricción
Producto afectado: Bricksforge para WordPress 3.1.8.9 y anteriores
Explotación activa: Sí — Observada por Patchstack desde el 7 de octubre de 2026; reportada por SecurityWeek y The Hacker News
Fuente: NVD / Patchstack / SecurityWeek / The Hacker News
Clasificación TLP: TLP:CLEAR (Difusión pública)
I. Descripción
Se ha identificado una vulnerabilidad de carga de archivos peligrosos sin restricción en Bricksforge, complemento comercial del constructor visual Bricks para WordPress, registrada como CVE-2026-85097 y calificada con 9.8 de 10 en la escala CVSS 3.1. Afecta a todas las versiones hasta la 3.1.8.9 inclusive y permite que un atacante remoto, sin autenticación, cargue y ejecute código PHP arbitrario en el servidor, tomando el control total del sitio.
El fallo se debe a que el plugin valida el tipo MIME del archivo en la carga inicial, pero luego confía en el campo url del parámetro temporaryFileUploads, controlado por el atacante. El atacante obtiene un nonce válido mediante el endpoint AJAX bricksforge_regenerate_nonce (accesible sin autenticación), sube un archivo políglota GIF/PHP al directorio temporal —donde supera la validación MIME— y luego envía un formulario en el que la ruta apunta al GIF validado, pero el campo url termina en .php, de modo que el código queda escrito como archivo PHP ejecutable.
Patchstack observó los primeros intentos de explotación el 7 de octubre de 2026 a las 21:47 UTC, con solicitudes desde 63 direcciones IP únicas. En un grupo, 44 IP enviaron cargas idénticas con segundos de diferencia; en otro, 3 IP probaron 25 variantes de extensiones y codificaciones (.phtml, .php5, cambios de mayúsculas, codificación URL). El patrón indica explotación automatizada a través de proxies rotativos o infraestructura distribuida. Patchstack estima que unos 6,000 sitios utilizan el plugin.
Descripción técnica publicada en NVD (en inglés): «The Bricksforge plugin for WordPress is vulnerable to unauthenticated arbitrary file upload in versions up to, and including, 3.1.8.9. This is due to insufficient validation of the attacker-controlled URL field in the ‘temporaryFileUploads’ parameter during form submission. An unauthenticated attacker can first obtain a valid nonce via the bricksforge_regenerate_nonce AJAX endpoint, then upload a GIF/PHP polyglot file to the temporary upload directory where MIME type validation is correctly performed. Subsequently, the attacker can submit a form with a crafted ‘temporaryFileUploads’ parameter where the server-side file path points to the validated GIF file, but the attacker-controlled url field ends with a .php extension. This makes it possible for unauthenticated attackers to upload and execute arbitrary PHP code on the server.»
II. Productos Afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| Bricksforge para WordPress | 3.1.8.9 y anteriores | 3.1.8.10 o posterior |
III. Acciones Requeridas
1. Actualizar inmediatamente
Actualizar Bricksforge a la versión 3.1.8.10 o posterior desde el canal oficial del fabricante.
2. Mitigar inmediatamente si no es posible parchear
Mientras se realiza la actualización, desactivar el plugin o bloquear en el WAF las solicitudes a /wp-json/bricksforge/v1/form_submit y a /wp-admin/admin-ajax.php con action=bricksforge_form_submit o action=bricksforge_regenerate_nonce. Impedir además la ejecución de archivos PHP en /wp-content/uploads/.
3. Verificar posible compromiso
El parche cierra el vector de explotación, pero no elimina un acceso que el atacante ya haya obtenido. Se recomienda:
- Buscar archivos
.php,.phtmlo.php5inesperados en/wp-content/uploads/bricksforge/tmp/y en el resto de/wp-content/uploads/. - Revisar los registros del servidor web en busca de envíos repetidos a
/wp-json/bricksforge/v1/form_submitque incluyan el parámetrotemporaryFileUploads. - Verificar la existencia de cuentas de administrador nuevas u ocultas, archivos en
/wp-content/mu-plugins/y conexiones salientes no habituales. - Buscar en los registros tráfico desde las direcciones IP indicadas a continuación y reportar cualquier hallazgo a incidentes@cert.pa.
Direcciones IP asociadas a la explotación según Patchstack (usar como indicadores en la revisión de registros; al tratarse de proxies rotativos, no deben ser el único control de bloqueo):
| Dirección IP |
|---|
| 177.75.57[.]20 |
| 23.97.62[.]146 |
| 84.247.60[.]125 |
| 38.154.185[.]97 |
| 150.109.16[.]166 |
| 153.75.90[.]146 |
IV. Referencias
- National Institute of Standards and Technology (NIST). National Vulnerability Database: CVE-2026-85097. https://nvd.nist.gov/vuln/detail/CVE-2026-85097
- SecurityWeek. Bricksforge WordPress Plugin Vulnerability Exploited in the Wild. https://www.securityweek.com/bricksforge-wordpress-plugin-vulnerability-exploited-in-the-wild/
- The Hacker News. Attackers Exploit CVSS 10.0 Bricksforge WordPress Flaw Enabling Unauthenticated RCE. https://thehackernews.com/2026/10/attackers-exploit-cvss-100-bricksforge.html
V. Información de Contacto
CSIRT PANAMÁ · Computer Security Incident Response Team
Autoridad Nacional para la Innovación Gubernamental
E-Mail: incidentes@cert.pa · info@cert.pa
Phone: +507 520-CERT (2378) · Web: https://cert.pa · X: @CSIRTPanama · Key ID: 16F2B124