Bricksforge WordPressプラグインの脆弱性、実環境で悪用される

WordPressのセキュリティ企業Patchstackによると、WordPressプラグイン「Bricksforge」の重大な脆弱性が実環境で悪用されています。

この脆弱性は「CVE-2026-85097」として追跡されており、CVSSスコアは9.8です。認証されていない攻撃者が任意のファイルをアップロードし、悪意のあるコードを実行できます。

攻撃者は、標的となったWordPressサイトを完全に乗っ取る可能性があります。

この脆弱性は、バージョン3.1.8.10のリリースで修正されました。影響を受けるのは、バージョン3.1.8.9以前です。

Patchstackは、10月7日に実環境での悪用の試みを確認し始めました。

Bricksforgeは、ビジュアルサイトビルダー「Bricks」向けの商用アドオンです。カスタムフォーム、アニメーション、メールデザイナー、管理画面ページなどの追加ツールをWordPressサイトに提供します。Patchstackによると、約6,000のウェブサイトで利用されています。

Patchstackは次のように説明しています。「当社のテレメトリでは、2つのクラスターが目立っています。1つ目では、44のIPアドレスが数秒以内に、同一のペイロードを持つ56件のリクエストを送信しました。2つ目では、3つのIPアドレスが、同じ一時ファイルに対してPHP拡張子とエンコーディングの25種類のバリエーションを試しました」

同社はさらに、「どちらのパターンも、ローテーションするプロキシや分散インフラを利用した自動化された攻撃を示しています。ただし、これだけでは、単一の攻撃者による活動だと断定することはできません」と付け加えています。

パッチの公開直後に、攻撃者がWordPressの脆弱性を狙うことは珍しくありません。過去には、プラグインの欠陥や、WordPress本体に影響する脆弱性も標的となりました。