WordPress : une faille critique du module Bricksforge exploitée depuis le 7 octobre

Une faille critique de Bricksforge, une extension commerciale pour WordPress, est exploitée par des attaquants depuis le 7 octobre, selon la société de sécurité Patchstack. Référencée CVE-2026-85097, elle permet à un visiteur non authentifié de déposer un fichier sur le serveur puis d'y exécuter du code. L'attaquant peut alors prendre le contrôle complet du site. La version 3.1.8.10 corrige le problème. Toutes les versions jusqu'à la 3.1.8.9 incluse sont vulnérables.

Ce que l'on sait

Bricksforge complète le constructeur de sites Bricks avec des formulaires, des animations ou un éditeur d'e-mails. Environ 6 000 sites l'utilisent, selon Patchstack cité par SecurityWeek. La gravité est notée 10 sur 10 par Patchstack tandis que SecurityWeek indique un score CVSS de 9,8 sans en préciser l'origine.

D'après l'analyse de Patchstack publiée le 8 octobre, l'extension vérifie bien le type de fichier lors du téléversement. Elle fait en revanche confiance aux informations envoyées par le navigateur au moment de la soumission du formulaire. Un attaquant peut ainsi envoyer une image piégée, qui contient aussi du code PHP, puis la faire enregistrer sous un nom en .php avant de l'exécuter.

Patchstack a observé la première tentative le 7 octobre à 21 h 47 (heure UTC). La société a relevé des requêtes venant de 63 adresses IP. Dans un épisode, 44 adresses ont envoyé 56 requêtes identiques en quelques secondes. Pour Patchstack, cela indique une exploitation automatisée, mais la société ne l'attribue à aucun groupe connu.

Que faire ?

• Mettez à jour Bricksforge en version 3.1.8.10 ou ultérieure. Vérifiez que votre licence permet bien de recevoir les mises à jour.
• Si la mise à jour est impossible dans l'immédiat, désactivez l'extension ou bloquez les requêtes visées au niveau du pare-feu applicatif. Patchstack propose une règle dédiée.
• Cherchez dans les journaux les requêtes POST vers /wp-json/bricksforge/v1/form_submit, ou vers /wp-admin/admin-ajax.php avec les actions bricksforge_form_submit et bricksforge_regenerate_nonce.
• Contrôlez les répertoires de téléversement : aucun fichier PHP ne devrait se trouver dans /wp-content/uploads/bricksforge/tmp/ ni dans /wp-content/uploads/2026/10/. Patchstack signale en particulier des fichiers nommés login_admin_*.php.
• Si le site a tourné sans protection avec une version vulnérable, examinez l'historique des journaux. Recherchez aussi toute modification non autorisée ou porte dérobée laissée sur le serveur.