Bricksforgeの重大な脆弱性、悪用攻撃が進行中

WordPressのエコシステムで、深刻かつ重大な脆弱性が確認されました。攻撃者はすでにこの欠陥を悪用し、パスワード認証を完全に迂回して、実行可能なPHPファイルをひそかにアップロードしようと試みています。問題が見つかったのは、プラグイン「Bricksforge」の中核部分です。サイバーセキュリティ企業Patchstackのアナリストは、この脅威に最高値となる深刻度10を割り当てました。

CVE-2026-85097の仕組み

CVE-2026-85097として正式に識別されたこの脆弱性は、Bricksforgeのバージョン3.1.8.9およびそれ以前のすべてのバージョンに影響します。開発チームはバージョン3.1.8.10のリリースで根本的な問題を修正しました。Bricksforgeは、ビジュアルビルダー「Bricks Builder」の機能を拡張するプラグインで、高度なフォームやなめらかなアニメーション、インタラクティブな要素をプラットフォームに組み込めます。

この深刻な欠陥の根本原因は、temporaryFileUploadsパラメータの不適切な処理にあります。Bricksforgeは最初のアップロード段階ではMIMEタイプを正しく検証します。しかしその後、ユーザーのブラウザーが送信したファイルパスを無条件に信頼してしまいます。その結果、攻撃者は検証済みの内容と最終的なファイル名との間に、意図的に致命的な不整合を作り出せます。

攻撃者はまず、認証不要のAJAXハンドラーを悪用して暗号学的なナンス（nonce）を入手します。続いて、悪意あるPHPコードを深く埋め込んだハイブリッドGIFファイルを送信します。最初の検証機構はこのペイロードを許可された画像形式と誤認します。攻撃者はその後、メタデータ内のURLを操作し、保存先アドレスにPHP拡張子を巧妙に付け足します。その結果、サーバーは画像のペイロードを、そのまま実行可能なスクリプトとして保存してしまいます。

侵入の最終段階では、攻撃者の多くが/wp-json/bricksforge/v1/form_submitにあるREST APIエンドポイントを利用します。ひそかにアップロードされたPHPファイルを実行すれば、攻撃者は任意のサーバーコマンドの実行、悪質なWebシェルの設置、サイトの中核コンテンツの一方的な改ざんが可能になります。重要なのは、攻撃の成功にWordPressの認証済みアカウントがまったく不要という点です。

攻撃キャンペーンの分析

Patchstackは、2026年10月7日21時47分（UTC）に悪用の試みを初めて検知しました。セキュリティ専門家は、63の異なるIPアドレスから送信された悪意あるリクエストを丹念に記録しています。そのうち44のアドレスからなる高度に統率されたクラスターは、わずか数秒の間に同一のリクエスト56件を一斉に送り付けました。同時に、別の3つのアドレスは、PHP拡張子の25種類の変形や複雑なエンコード手法を体系的に試していました。

傍受したリクエストの実に95%で、送信元のファイルパスは無害そうな.gifまたは.pngで終わっていましたが、最終的な保存先は明らかにPHPスクリプトを指していました。アナリストは、.php5や.phtml、大文字小文字を変えたバリエーション、難読化されたエンコード文字といった拡張子も確認しています。特に標的を絞った試行では、標準のWordPressアップロードディレクトリ内にlogin_admin_*.phpという名前のファイルを生成しようとしていました。

Patchstackはこの攻撃の詳細な仕組みを詳しく解説し、防御ルール「RapidMitigate」の提供開始を正式に発表しました。ただし、リクエスト数や送信元IPアドレスの数が、実際に侵害されたサイトの総数に直結するわけではない点には注意が必要です。公式のCVEレジストリはこの脆弱性にスコア9.8を割り当てましたが、Patchstackは満点の10に値するほど深刻だと判断しました。

管理者は、直ちにBricksforgeをバージョン3.1.8.10以降へアップグレードするよう強く求められます。脆弱なビルドでサイトを運用していた場合は、フォーム送信ハンドラーに関するリクエストログを厳密に監査し、アップロードディレクトリを入念に調べ、最近追加されたPHPファイルがないか積極的に探す必要があります。なお、同様の悪意あるキャンペーンは過去にもElementor ProやSuper Formsといった有名プラグインを標的にしており、危険なファイルアップロードが、そのたびに深刻なリモートコード実行への道を開いてきました。