Bricksビルダーの拡張プラグイン「Bricksforge」で、認証なしの攻撃者が任意のPHPファイルを設置し、サイトを乗っ取れる深刻な脆弱性(CVE-2026-85097)が見つかりました。セキュリティ企業Patchstackによると、悪用の試行は2026年10月7日(UTC)にはすでに始まっていたとされています。
何が問題なのか
報道によると、Bricksforgeはアップロードされた一時ファイルのMIMEタイプを最初に確認するものの、その後のフォーム送信処理ではクライアントから渡されたメタデータ(temporaryFileUploadsパラメータ内のURL欄など)をそのまま信用してしまうことが原因です。
- 攻撃者は、認証不要のAJAXエンドポイントから有効なnonceを取得する
- 画像としてもPHPコードとしても成立する「ポリグロット」ファイルをアップロードし、MIMEチェックをすり抜ける
- フォーム送信時に、保存先のパスの拡張子をPHPに指定し、PHPファイルとして書き込ませる
- そのファイルにアクセスするとコードが実行され、Webシェルの設置、データの窃取、内容の改ざん、継続的な侵入につながる
影響を受けるバージョンと攻撃の状況
- 影響を受けるのはバージョン3.1.8.9以前。修正版は3.1.8.10です。
- 深刻度(CVSS)は、10.0とする報道が多い一方、SecurityWeekは9.8としています。いずれにせよ最高レベルの「緊急」扱いです。
- 攻撃は主にフォーム送信用のREST API(
/wp-json/bricksforge/v1/form_submit)を狙い、admin-ajax.php経由の試行も確認されています。 - Patchstackは63の送信元IPを確認。拡張子の大文字小文字やエンコードを変えて、フィルターをかいくぐろうとする試みも見られたとのことです。特定の攻撃グループの仕業とは結論づけられていません。
- SecurityWeekによれば、Bricksforgeを使っているサイトは約6,000と推定されています。
サイト運営者がやること
- Bricksforgeを最新版へ更新する(最低でも3.1.8.10以降)。これが第一の対策です。
- すぐに更新できない場合は、Patchstackが提供するトラフィック層の緩和ルール(RapidMitigate)の利用が案内されています。
- サーバーのログで、フォーム送信エンドポイントへの不審なリクエスト(
temporaryFileUploadsを含むもの)や、nonce取得の直後のアップロードがないか確認する。 /wp-content/uploads/bricksforge/tmp/などのアップロード先に、見覚えのないPHPファイル(例:login_admin_*.php)がないか点検する。
攻撃は修正版の公開前から始まっていたため、「更新したから安心」とは限りません。更新後も、不審なファイルや管理者アカウントがないかを確認しておくと安全です。
関連する話題
プラグインの脆弱性が公開直後から悪用される流れは、他の事例でも続いています。あわせてWordPress「Ninja Forms」の脆弱性が実際の攻撃に悪用──50万サイト超が影響、更新と点検をもご覧ください。
出典: SecurityWeek「Bricksforge WordPress Plugin Vulnerability Exploited in the Wild」、GBHackers「Critical WordPress Bricksforge Flaw Lets Unauthenticated Attackers Execute Remote Code」
