{"id":6107,"date":"2026-10-12T10:42:50","date_gmt":"2026-10-12T15:42:50","guid":{"rendered":"https:\/\/cert.pa\/?p=6107"},"modified":"2026-10-12T13:31:56","modified_gmt":"2026-10-12T18:31:56","slug":"csirt-panama-aviso-2026-oct-12-vulnerabilidad-critica-en-el-plugin-bricksforge-para-wordpress-explotada-activamente-que-permite-cargar-archivos-maliciosos-y-ejecutar-codigo-cve-2026-85097","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=6107","title":{"rendered":"CSIRT Panam\u00e1 Aviso 2026-oct-12: Vulnerabilidad Cr\u00edtica en el plugin Bricksforge para WordPress explotada activamente que permite cargar archivos maliciosos y ejecutar c\u00f3digo \u2014 CVE-2026-85097"},"content":{"rendered":"\n

Fecha de emisi\u00f3n:<\/strong> 12 de octubre de 2026
CVE ID:<\/strong> CVE-2026-85097
Severidad:<\/strong> CR\u00cdTICA \u2014 CVSS 3.1: 9.8
Vector CVSS:<\/strong> CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:N\/S:U\/C:H\/I:H\/A:H
Tipo de vulnerabilidad:<\/strong> CWE-434: Carga de archivos peligrosos sin restricci\u00f3n
Producto afectado:<\/strong> Bricksforge para WordPress 3.1.8.9 y anteriores
Explotaci\u00f3n activa:<\/strong> S\u00ed \u2014 Observada por Patchstack desde el 7 de octubre de 2026; reportada por SecurityWeek y The Hacker News
Fuente:<\/strong> NVD \/ Patchstack \/ SecurityWeek \/ The Hacker News
Clasificaci\u00f3n TLP:<\/strong> TLP:CLEAR (Difusi\u00f3n p\u00fablica)<\/p>\n\n\n\n

I. Descripci\u00f3n<\/strong><\/p>\n\n\n\n

Se ha identificado una vulnerabilidad de carga de archivos peligrosos sin restricci\u00f3n en Bricksforge, complemento comercial del constructor visual Bricks para WordPress, registrada como CVE-2026-85097 y calificada con 9.8 de 10 en la escala CVSS 3.1. Afecta a todas las versiones hasta la 3.1.8.9 inclusive y permite que un atacante remoto, sin autenticaci\u00f3n, cargue y ejecute c\u00f3digo PHP arbitrario en el servidor, tomando el control total del sitio.<\/p>\n\n\n\n

El fallo se debe a que el plugin valida el tipo MIME del archivo en la carga inicial, pero luego conf\u00eda en el campo url<\/code> del par\u00e1metro temporaryFileUploads<\/code>, controlado por el atacante. El atacante obtiene un nonce v\u00e1lido mediante el endpoint AJAX bricksforge_regenerate_nonce<\/code> (accesible sin autenticaci\u00f3n), sube un archivo pol\u00edglota GIF\/PHP al directorio temporal \u2014donde supera la validaci\u00f3n MIME\u2014 y luego env\u00eda un formulario en el que la ruta apunta al GIF validado, pero el campo url<\/code> termina en .php<\/code>, de modo que el c\u00f3digo queda escrito como archivo PHP ejecutable.<\/p>\n\n\n\n

Patchstack observ\u00f3 los primeros intentos de explotaci\u00f3n el 7 de octubre de 2026 a las 21:47 UTC, con solicitudes desde 63 direcciones IP \u00fanicas. En un grupo, 44 IP enviaron cargas id\u00e9nticas con segundos de diferencia; en otro, 3 IP probaron 25 variantes de extensiones y codificaciones (.phtml<\/code>, .php5<\/code>, cambios de may\u00fasculas, codificaci\u00f3n URL). El patr\u00f3n indica explotaci\u00f3n automatizada a trav\u00e9s de proxies rotativos o infraestructura distribuida. Patchstack estima que unos 6,000 sitios utilizan el plugin.<\/p>\n\n\n\n

Descripci\u00f3n t\u00e9cnica publicada en NVD (en ingl\u00e9s): \u00abThe Bricksforge plugin for WordPress is vulnerable to unauthenticated arbitrary file upload in versions up to, and including, 3.1.8.9. This is due to insufficient validation of the attacker-controlled URL field in the ‘temporaryFileUploads’ parameter during form submission. An unauthenticated attacker can first obtain a valid nonce via the bricksforge_regenerate_nonce AJAX endpoint, then upload a GIF\/PHP polyglot file to the temporary upload directory where MIME type validation is correctly performed. Subsequently, the attacker can submit a form with a crafted ‘temporaryFileUploads’ parameter where the server-side file path points to the validated GIF file, but the attacker-controlled url field ends with a .php extension. This makes it possible for unauthenticated attackers to upload and execute arbitrary PHP code on the server.\u00bb<\/p>\n\n\n\n

II. Productos Afectados<\/strong><\/p>\n\n\n\n

Producto<\/th>Versiones afectadas<\/th>Versi\u00f3n corregida<\/th><\/tr><\/thead>
Bricksforge para WordPress<\/td>3.1.8.9 y anteriores<\/td>3.1.8.10 o posterior<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

III. Acciones Requeridas<\/strong><\/p>\n\n\n\n

1. Actualizar inmediatamente<\/strong>
Actualizar Bricksforge a la versi\u00f3n 3.1.8.10 o posterior desde el canal oficial del fabricante.<\/p>\n\n\n\n

2. Mitigar inmediatamente si no es posible parchear<\/strong>
Mientras se realiza la actualizaci\u00f3n, desactivar el plugin o bloquear en el WAF las solicitudes a \/wp-json\/bricksforge\/v1\/form_submit<\/code> y a \/wp-admin\/admin-ajax.php<\/code> con action=bricksforge_form_submit<\/code> o action=bricksforge_regenerate_nonce<\/code>. Impedir adem\u00e1s la ejecuci\u00f3n de archivos PHP en \/wp-content\/uploads\/<\/code>.<\/p>\n\n\n\n

3. Verificar posible compromiso<\/strong>
El parche cierra el vector de explotaci\u00f3n, pero no elimina un acceso que el atacante ya haya obtenido. Se recomienda:<\/p>\n\n\n\n