На 8 октомври 2026 г. Patchstack съобщи, че уязвимост в Bricksforge, разширение за визуалния билдър Bricks, вече се използва при атаки. Уязвимостта (CVE-2026-85097) позволява на посетител без акаунт да качи файл и да изпълни PHP код на сайта. Засегнати са версиите до 3.1.8.9 включително. Според Patchstack поправката е във версия 3.1.8.10, а първите атаки са засечени на 7 октомври.
Как работи атаката с качване на файлове в Bricksforge
Плъгинът проверява типа на файла само при първото качване. При изпращане на формата той приема данните за файла от заявката на доверие и не проверява полето url. Така нападателят качва картинка, която е и PHP код, и после кара плъгина да я запише като файл с PHP разширение. Щом отвори този файл в браузъра, кодът се изпълнява. Patchstack пише, че това отваря пътя към уеб шелове (web shells), промени в съдържанието, кражба на данни и траен достъп.
Patchstack оценява уязвимостта на 10.0, а записът в NVD, подаден от Wordfence, на 9.8. И двете оценки са в категорията „критична“.
Засегнат ли е Вашият сайт?
Засегнат е, ако на него работи Bricksforge до версия 3.1.8.9 включително. В бележките към версия 4.0.1 производителят пише, че проблемът засяга всеки сайт с активни Pro Forms, дори формите му да нямат поле за качване. Версията се вижда в Plugins > Installed Plugins или с една команда в Terminal на cPanel. Ако командата не върне ред, потърсете плъгина и в администрацията.
# cPanel > Terminal, в папката на сайта
# Само чете. Показва версията на Bricksforge.
wp plugin list --fields=name,status,version | grep -i bricksforge
Ако сайтът е работил с уязвима версия от 7 октомври насам, проверете и дали в wp-content/uploads няма PHP файлове. Там такива файлове не би трябвало да има. При атаките, описани от Patchstack, се срещат папките wp-content/uploads/bricksforge/tmp/ и wp-content/uploads/2026/10/, имена на файлове като login_admin_*.php и разширения като .php5, .phtml и .PHP.
# cPanel > Terminal, в папката на сайта
# Само чете. Показва файлове, които могат да се изпълнят като PHP.
find wp-content/uploads -type f \
\( -iname '*.php*' -o -iname '*.pht*' -o -iname '*.phar' \)
Файл, в който има само коментар, е безобиден. Всичко непознато е повод да действате. В журналите на сървъра потърсете и POST заявки към адреса /wp-json/bricksforge/v1/form_submit, който според Patchstack е основната цел.
Какво да направите
- Направете бекъп и обновете Bricksforge. Patchstack посочва 3.1.8.10 като версията с поправката. В дневника на промените на производителя за 8 октомври е записана версия 4.0.1 със „Security fix for the Pro Forms file upload“, а ред за 3.1.8.10 там няма. Затова вземете най-новата версия, която предлага производителят, и се уверете, че номерът ѝ е 3.1.8.10 или по-висок. Бекъпът е особено важен, ако обновлението Ви прехвърля от 3.x на 4.x.
- Bricksforge не е в каталога на wordpress.org, а източниците не посочват откъде се изтегля обновлението. Започнете от дневника на промените на производителя.
- Ако не можете да обновите веднага, изключете плъгина дотогава. Формите, които зависят от него, ще спрат да работят.
- Направете проверките по-горе. Ако намерите PHP файл, който не познавате, сайтът може да е бил компрометиран. Не е достатъчно само да изтриете файла, затова следвайте ръководството за хакнат сайт.
Какво правим ние
При наблюдението на уязвимостите сверяваме плъгините, темите и WordPress на Вашия сайт с базите данни с уязвимости и Ви казваме какво да обновите, преди някой да се възползва от слабото място. Ако проверката по-горе покаже непознат PHP файл, при почистването на хакнат сайт махаме зловредния код и задните врати и затваряме пробива. Правим и двете, където и да е хостнат сайтът Ви.
Често задавани въпроси
Какво е CVE-2026-85097 в Bricksforge?
Уязвимост в Bricksforge, разширение за визуалния редактор Bricks, която позволява на посетител без акаунт да качи файл и да изпълни PHP код на сайта. Засегнати са версиите до 3.1.8.9 включително. Patchstack я оценява с 10.0, а записът в NVD, подаден от Wordfence, с 9.8, и двете оценки са в категорията „критична“.
Атакува ли се вече уязвимостта в Bricksforge?
Да. На 8 октомври 2026 г. Patchstack съобщи, че Bricksforge се използва в атаки, а първите са записани на 7 октомври. Според Patchstack пробивът отваря път към уеб шелове, промени в съдържанието, кражба на данни и постоянен достъп.
Засегнат ли е сайтът ми, ако формите нямат поле за качване на файл?
Да, ако Bricksforge е на версия 3.1.8.9 или по-стара и Pro Forms е включен. В записа за версия 4.0.1 производителят пише, че проблемът засяга всеки сайт с активен Pro Forms, дори формите му да нямат поле за качване.
Коя версия на Bricksforge поправя уязвимостта?
Patchstack посочва 3.1.8.10 като поправена версия. В списъка с промени на производителя от 8 октомври 2026 г. обаче е записана версия 4.0.1 с поправка за качването на файлове в Pro Forms, а ред за 3.1.8.10 няма. Вземете най-новата версия, която предлага производителят, и проверете, че номерът ѝ е 3.1.8.10 или по-висок.
Как да проверя версията на Bricksforge?
Версията е в Plugins > Installed Plugins. В Terminal на cPanel командата wp plugin list --fields=name,status,version | grep -i bricksforge, пусната в папката на сайта, само чете и показва версията. Ако не върне ред, потърсете плъгина и в админа.
Откъде се обновява Bricksforge?
Bricksforge не е в каталога на wordpress.org, а източниците не казват откъде идва обновлението. Започнете от списъка с промени на производителя на bricksforge.io. Направете бекъп преди това, особено ако новата версия Ви прехвърля от 3.x на 4.x.
Как да разбера дали сайтът ми с Bricksforge е пробит?
Проверете за PHP файлове в wp-content/uploads, където такива не се очакват. Атаките, записани от Patchstack, споменават папките wp-content/uploads/bricksforge/tmp/ и wp-content/uploads/2026/10/, имена като login_admin_*.php и разширения като .php5, .phtml и .PHP. В логовете на сървъра потърсете POST заявки към /wp-json/bricksforge/v1/form_submit.
Какво да направя, ако не мога да обновя Bricksforge веднага?
Изключете плъгина Bricksforge, докато успеете да го обновите. Формите, които зависят от него, ще спрат да работят дотогава. Ако междувременно откриете непознат PHP файл, само изтриването му не стига и сайтът трябва да се почисти като пробит.