Uma falha de segurança de gravidade máxima no plugin Bricksforge para WordPress está sendo explorada ativamente, segundo a Patchstack.
A vulnerabilidade crítica é a CVE-2026-85097 (identificador de vulnerabilidade e exposição comum; pontuação CVSS, sistema comum de pontuação de vulnerabilidades: 10,0). Ela permite que invasores sem autenticação enviem e executem código PHP (linguagem de programação usada no desenvolvimento web) arbitrário em sites vulneráveis do WordPress, possibilitando a execução remota de código (RCE, sigla em inglês para execução remota de código). A falha afeta as versões do Bricksforge até a 3.1.8.9. Uma correção foi disponibilizada na versão 3.1.8.10.
O Bricksforge é um plugin para WordPress divulgado como um "canivete suíço" para o Bricks, uma ferramenta visual de criação de sites para WordPress que oferece suporte a animações, formulários avançados e sequências de vídeo com rolagem.
A empresa de segurança WordPress Patchstack informou que detectou tentativas de exploração da falha em 7 de outubro de 2026, às 21h47, no horário universal coordenado (UTC).
"O Bricksforge valida o tipo MIME (tipo de mídia) de um arquivo quando ele é enviado pela primeira vez. No entanto, quando um formulário é enviado posteriormente, o plugin confia nos metadados do arquivo fornecidos pelo cliente", afirmou a Patchstack. "Em particular, ele não valida o campo 'url' dentro do parâmetro 'temporaryFileUploads'."
Em linhas gerais, a vulnerabilidade decorre da validação insuficiente de um campo de endereço no parâmetro 'temporaryFileUploads' durante o envio de formulários. Um invasor pode explorar essa brecha para executar código remotamente em quatro etapas:
- Solicitar um nonce (token de uso único) válido pelo endpoint AJAX (JavaScript assíncrono e XML) 'bricksforge_regenerate_nonce', que não exige autenticação.
- Enviar um arquivo híbrido de GIF (formato de intercâmbio de imagens) e PHP: um arquivo que é uma imagem válida, mas também contém código PHP. Ele passa pela verificação de tipo de mídia e é armazenado no diretório temporário de envios.
- Enviar um formulário cujo caminho do arquivo aponta para a imagem validada, mas cujo campo 'url' termina com uma extensão PHP.
- O Bricksforge confia implicitamente nos metadados enviados e coloca o conteúdo do arquivo no local indicado como PHP. O código incorporado é executado quando esse arquivo é acessado.
"Um invasor sem autenticação pode primeiro obter um nonce válido pelo endpoint AJAX bricksforge_regenerate_nonce e, em seguida, enviar um arquivo híbrido de GIF e PHP para o diretório temporário de envios, onde a validação do tipo MIME é feita corretamente", informou a Wordfence em um alerta sobre a falha.
"Depois, o invasor pode enviar um formulário com um parâmetro 'temporaryFileUploads' criado especialmente para o ataque. Nele, o caminho do arquivo no servidor aponta para o arquivo GIF validado, mas o campo 'url', controlado pelo invasor, termina com a extensão .php."
A exploração bem-sucedida da falha pode permitir a execução de código PHP arbitrário no servidor. O invasor pode usar esse acesso para assumir o controle do site WordPress, instalar ferramentas de acesso remoto, ler dados confidenciais e manter acesso persistente.
Nos ataques observados pela Patchstack, os invasores tentaram explorar o endpoint de envio de formulários da API REST (interface de programação de aplicações baseada no estilo de transferência de estado representacional) do Bricksforge ("/wp-json/bricksforge/v1/form_submit") ou o endpoint "/wp-admin/admin-ajax.php", com a ação "bricksforge_form_submit" e um parâmetro "temporaryFileUploads" criado para o ataque.
Uma solicitação representativa é apresentada a seguir:
De acordo com a Wordfence, os invasores exploram uma incompatibilidade: o argumento "file" especificado aponta para um arquivo GIF ou PNG (formato de gráficos de rede portáteis), enquanto o endereço real aponta para um código malicioso em PHP.
Para contornar a filtragem de extensões, a atividade de exploração usa extensões alternativas para PHP, como .php5, .php7 e .phtml; variações entre letras maiúsculas e minúsculas, como .PHP, .Php e .pHp; e extensões codificadas, como .%70hp, %2ephp e .%2570%2568%2570.
"Dois grupos se destacam em nossa telemetria. No primeiro, 44 endereços IP (protocolo de internet) enviaram 56 solicitações com cargas maliciosas idênticas, em poucos segundos", afirmou a Patchstack. "No segundo, três endereços IP testaram 25 variações de extensões e codificações de PHP contra o mesmo arquivo temporário."
"Os dois padrões indicam exploração automatizada por meio de proxies rotativos ou infraestrutura distribuída. Por si só, eles não permitem atribuir a atividade a um único agente de ameaça."
A atividade foi registrada a partir de 63 endereços IP únicos. Seis deles responderam por cerca de 46% de todas as solicitações:
- 177.75.57[.]20
- 23.97.62[.]146
- 84.247.60[.]125
- 38.154.185[.]97
- 150.109.16[.]166
- 153.75.90[.]146
Recomenda-se que os usuários atualizem o plugin para a versão mais recente, a 4.0.1, para reduzir o risco. Os responsáveis pelos sites também devem auditar as solicitações recebidas pelo endpoint "/wp-json/bricksforge/v1/form_submit" que contenham o parâmetro "temporaryFileUploads", além de verificar envios repetidos de formulários e arquivos PHP inesperados no diretório "/wp-content/uploads/bricksforge/tmp/".
Falhas no WPC Product Bundles for WooCommerce e no Ninja Forms são exploradas
A divulgação ocorre enquanto invasores também abusam de vulnerabilidades de XSS (cross-site scripting, ou script entre sites) em dois plugins distintos para WordPress: WPC Product Bundles for WooCommerce (CVE-2026-93836, pontuação CVSS: 7,1) e Ninja Forms (CVE-2026-94504, pontuação CVSS: 7,1). O objetivo é distribuir um código JavaScript chamado "x.js", capaz de instalar um plugin de acesso clandestino e criar contas administrativas não autorizadas.
O plugin conta com um gerenciador de arquivos sem autenticação, acessível por meio de uma solicitação direta ao arquivo PHP principal do próprio plugin. Ele também cria um administrador do WordPress oculto na tela de usuários e instala um endereço especial de login que autentica quem o acessa como o administrador mais antigo do site.
"Trata-se de um implante de pós-exploração e persistência para WordPress, projetado para ser executado no navegador de um administrador conectado", afirmou a Patchstack. "Quando ativado, ele abusa da sessão autenticada da vítima no wp-admin para instalar um plugin malicioso para WordPress, criar uma nova conta de administrador, acionar outro mecanismo oculto de persistência e enviar os resultados para uma infraestrutura controlada pelos invasores."
É importante destacar que atualizar os plugins vulneráveis — para a versão 8.6.7 do WPC Product Bundles for WooCommerce e a versão 3.15.4 do Ninja Forms — impede novas explorações, mas não remove uma infecção existente. Os responsáveis pelos sites devem verificar diretamente no banco de dados se há administradores ocultos, conferir o diretório de plugins de uso obrigatório e revisar os registros do servidor web.
Tendências de exploração do WordPress no segundo trimestre de 2026
Segundo dados da Wordfence, 2.073 vulnerabilidades relacionadas ao WordPress foram publicadas no segundo trimestre de 2026. O número de falhas de alto risco aumentou 15,2% em relação ao trimestre anterior, chegando a 182. Cerca de 573 mil sites WordPress foram comprometidos no período.
As cinco vulnerabilidades mais visadas por invasores são:
- CVE-2024-28000 (pontuação CVSS: 9,8) - LiteSpeed Cache até a versão 6.3.0.1 - elevação de privilégios sem autenticação
- CVE-2019-9879 (pontuação CVSS: 9,8) - WPGraphQL até a versão 0.2.3 - criação de usuário administrativo
- CVE-2016-15042 (pontuação CVSS: 9,8) - Frontend File Manager anterior à versão 4.0 e N-Media Post Front-end Form anterior à versão 1.1 - envio de arquivos arbitrários
- CVE-2023-28121 (pontuação CVSS: 9,8) - WooCommerce Payments, versões 4.8.0 a 5.6.1 - contorno de autenticação e elevação de privilégios
- CVE-2025-3102 (pontuação CVSS: 8,1) - SureTriggers até a versão 1.0.78 - criação de usuário administrativo sem autenticação
A grande maioria dos endereços IP usados nos ataques teve origem nos Estados Unidos, seguidos por Alemanha, Chéquia, Austrália, Noruega, França, Ucrânia, Países Baixos, Suíça e Brasil.
"Um firewall robusto, correções oportunas para vulnerabilidades e configurações reforçadas ajudam a bloquear o tráfego malicioso antes que ele chegue ao seu site", afirmou a Wordfence. "A análise abrangente ajuda a identificar vulnerabilidades, programas maliciosos ou alterações suspeitas que podem indicar uma tentativa de invasão. Alertas em tempo real sobre eventos críticos, tentativas de login e alterações em arquivos ajudam a antecipar ameaças."
