攻撃者がWordPressプラグイン「Bricksforge」の重大な脆弱性を積極的に狙っています。この脆弱性を悪用すると、認証なしのユーザーが悪意のあるファイルをアップロードし、任意のPHPコードを実行できます。
脆弱性は CVE-2026-85097 として追跡されており、CVSSスコアは10.0です。影響を受けるのはバージョン3.1.8.9までで、管理者にはバージョン3.1.8.10以降へのアップグレードが推奨されています。
Patchstackはこの問題を2026年10月8日に公表しました。同社によると、悪用の試みは10月7日21時47分17秒（UTC）に始まっています。
Bricksforgeは、高度なフォーム、アニメーション、動的データ管理、カスタマイズ機能を提供し、Bricks Builderを強化するプラグインです。今回の脆弱性は、フォーム送信時に処理される一時ファイルのアップロードに関係しています。
StudySecurity
WordPress「Bricksforge」の重大な脆弱性
この脆弱性は、ファイルアップロード時とその後のフォーム送信時で検証内容に一貫性がないことが原因です。Bricksforgeは、アップロードされたファイルのMIMEタイプを最初に確認します。しかしその後は、`temporaryFileUploads`パラメータ内のURLフィールドを含め、クライアントから送られたメタデータをそのまま信用してしまいます。
攻撃者はまず、認証不要のAJAXエンドポイント`bricksforge_regenerate_nonce`から有効なnonceを入手します。続いて、GIF/PHPポリグロットをアップロードします。これは、正当な画像データとPHPコードの両方を含むファイルです。このファイルは最初のMIME検証を通過し、一時アップロードディレクトリに保存されます。
フォーム送信の際、攻撃者は検証済みの画像にひもづくメタデータを送ります。同時に、宛先URLにはPHP拡張子で終わるものを指定します。
するとBricksforgeは、指定された場所にファイルの内容を配置します。攻撃者がこのPHPファイルにアクセスすると、埋め込まれたコードが実行されます。これにより、Webシェルの設置、データ窃取、コンテンツの改ざん、永続的なアクセスの確保などが可能になる恐れがあります。
観測された攻撃のほぼすべてが、`POST /wp-json/bricksforge/v1/form_submit`エンドポイントを狙っていました。1件のリクエストだけは、代わりに`/wp-admin/admin-ajax.php`で`bricksforge_form_submit`アクションを使っています。捕捉したリクエストはいずれも、細工された`temporaryFileUploads`メタデータを含んでいました。
捕捉したリクエストの95%では、サーバー側のファイルパスが.gifまたは.pngで終わっていました。その大半が、このパスにPHP関連の宛先URLを組み合わせています。
攻撃者は、検証プロセスを探るために、別の拡張子、大文字小文字の混在、URLエンコード、二重エンコード、改変したメタデータフィールドなどを試していました。一部のペイロードは、標準的なWordPressのアップロードディレクトリに`login_admin_*.php`といったファイル名を使っています。
Patchstackは63個の固有の送信元IPアドレスを記録しました。このうち6個がリクエスト全体の約46%を占めています。あるクラスターでは44個のIPが数秒のうちに同一のリクエストを56件送信し、別のクラスターでは3個のIPが拡張子とエンコードの組み合わせを変えた25通りを試行しました。こうしたパターンは自動化された分散型の攻撃を示唆しますが、特定の攻撃者によるものと断定できる材料はありません。
管理者は直ちにBricksforgeのバージョン3.1.8.10以降をインストールしてください。すぐに更新できない環境向けには、PatchstackがトラフィックレイヤーのルールであるRapidMitigateも提供しています。
調査担当者は、不審なフォーム送信、画像とPHPのメタデータの不一致、nonceのリクエストに続くファイルアップロード、新たに作成されたPHPファイルへのリクエストがないか、ログを確認する必要があります。
あわせて、`/wp-content/uploads/bricksforge/tmp/`やその他のアップロードディレクトリに、想定外のスクリプトがないかを調べてください。特に`login_admin_*.php`という名前のファイルには注意が必要です。過去にインストールした環境でも、過去のログを調査し、不正な変更がないか確認すべきです。
MTTRを21分短縮し、被害が出る前にサイバー脅威を阻止。ANYRUNのSandboxをSOCに統合。
Cybersecuritynews platform
翻訳元: https://gbhackers.com/critical-wordpress-bricksforge-flaw/
