Šta se desilo?

Patchstack je prijavio aktivne pokušaje iskorišćavanja ranjivosti CVE-2026-85097 u WordPress dodatku Bricksforge, prvi put zabeležene 7. oktobra 2026. u 21.47 UTC. Propust omogućava napadaču bez prijavljivanja da postavi i izvrši PHP kod na ranjivom serveru. Broj uspešno kompromitovanih sajtova nije utvrđen u ovom izveštaju.

Koga pogađa?

CVE zapis koji održava Wordfence navodi Bricksforge do verzije 3.1.8.9 uključujući. Patchstack navodi ispravku u 3.1.8.10. Proizvođač je za granu 4.x objavio verziju 4.0.1 sa bezbednosnom ispravkom otpremanja datoteka u modulu Pro Forms i upozorio da su pogođeni i sajtovi čije forme nemaju polja za otpremanje ako je Pro Forms aktivan. Zato odsustvo takvog polja ne treba smatrati zaštitom, niti pretpostaviti da je verzija 4.0.0 bezbedna.

Kako se zaštititi?

  • Za granu 3.x primenite 3.1.8.10 ili novije odgovarajuće izdanje; za granu 4.x primenite 4.0.1 ili novije bezbednosno ažuriranje.
  • Proverite da je ažuriranje zaista primenjeno na svim sajtovima i da forme rade nakon izmene.
  • Pregledajte HTTP i aplikativne logove za sumnjive zahteve ka /wp-json/bricksforge/v1/form_submit i povezane AJAX zahteve.
  • Proverite neočekivane PHP datoteke u /wp-content/uploads/bricksforge/tmp/ i drugim direktorijumima za otpremanje, kao i neovlašćene izmene i administratorske naloge.
  • Ako ažuriranje trenutno nije moguće, privremeno deaktivirajte dodatak uz procenu uticaja na sajt ili primenite namensku proverenu zaštitu dok ne ažurirate.

Tehnički detalji

Problem je nedovoljna validacija metapodataka datoteke u parametru temporaryFileUploads pri slanju forme. Početna provera MIME tipa ne sprečava kasniju zloupotrebu odredišta datoteke. CVE zapis klasifikuje propust kao CWE-434 i navodi CVSS 3.1 ocenu 9.8. Patchstack objavljuje ocenu 10.0; u polju CVSS korišćena je ocena dodeljivača CVE oznake, Wordfence-a.

Patchstack je evidentirao 63 izvorne IP adrese povezane sa pokušajima. To nije broj žrtava ili nezavisnih napadača. Obrasci ukazuju na automatizovanu aktivnost, ali sami ne identifikuju jednu napadačku grupu.

Zašto je važno?

Izvršavanje serverskog koda može ugroziti integritet sajta i podatke kojima proces ima pristup. Potvrđena napadačka aktivnost povećava prioritet ažuriranja, ali ne dokazuje kompromitovanje svakog ranjivog sajta niti posebnu kampanju u regionu.

Preporuka Sajber Radara

Ažurirajte bez odlaganja i proverite tragove ranijeg pristupa. Sama zakrpa ne uklanja već postavljen zlonamerni kod. Ako pronađete znake kompromitovanja, sačuvajte dokaze i sprovedite oporavak i proveru integriteta uz stručnu pomoć.