WordPress Bricksforge插件未认证RCE漏洞曝光：CVSS 10.0且已被野外利用

Bricksforge 插件被曝出严重安全漏洞 CVE-2026-85097，Patchstack 安全监测平台已经证实该漏洞正在被野外利用。受影响版本覆盖 3.1.8.9 及更早全部版本，官方已在 3.1.8.10 版本完成补丁修复，目前最新稳定版为 4.0.1。

插件背景

Bricksforge 被称为 Bricks 可视化建站工具的“瑞士军刀”，是 WordPress 生态中的热门扩展。它可以实现动画、高级表单、滚动视频等丰富页面功能，大量企业与个人建站网站都在使用。正因如此，这个未认证 RCE 一旦被打通，影响面会迅速扩大。

漏洞原理：参数校验缺陷，引发任意代码执行

漏洞根源位于表单提交环节。程序对 temporaryFileUploads 参数内的 url 字段校验不足：

• 上传阶段会校验文件 MIME 类型；
• 但提交表单时，服务端直接信任客户端提交的文件元数据；
• 服务端没有对 url 扩展名做二次校验。

攻击者可以分 4 步完成入侵：

1. 调用公开 AJAX 接口 bricksforge_regenerate_nonce，直接获取合法 nonce 令牌，不需要任何账号登录。
2. 上传 GIF/PHP 多态文件：文件本身是合法 GIF 图片，内嵌 PHP 后门代码，顺利通过 MIME 检测，存入服务器临时上传目录。
3. 构造表单请求：服务端读取路径指向已校验的 GIF 文件，但自定义 url 字段后缀被修改为 php。
4. 服务端信任元数据，将文件内容映射为 PHP 文件；访问该地址后，内嵌恶意代码直接执行。

黑客绕过扩展名过滤的手段

为了绕过服务器后缀拦截，攻击者使用了多种变形方式：

• 备选 PHP 后缀：.php5、.php7、.phtml
• 大小写混淆：.PHP、.Php
• URL 编码变形：.%70hp 等编码绕过

这说明攻击载荷并不是简单的一次性请求，而是一套经过测试的绕过组合。

攻击现状：自动化批量攻击，多 IP 集群扫描

Patchstack 在 2026 年 10 月 7 日 UTC 时间 21:47 首次捕获到针对该漏洞的攻击流量。监测数据显示，攻击具备明显自动化特征：

1. 第一组：44 个 IP 短时间内发送完全相同载荷批量探测。
2. 第二组：3 个 IP 针对同一个临时文件，测试 25 种不同 PHP 后缀与编码变体。

攻击流量来自 63 个独立源 IP，其中 6 个 IP 承担了近 46% 的全部攻击请求。攻击者大概率使用了代理池、分布式基础设施批量扫站，目前无法将攻击行为归属到单一黑客组织。

攻击目标接口主要有两个：

• REST API 接口：/wp-json/bricksforge/v1/form_submit
• admin-ajax 接口：携带 bricksforge_form_submit 动作与恶意 temporaryFileUploads 参数

成功利用后果相当严重：攻击者可以在服务器上执行任意 PHP 代码、上传 WebShell、窃取网站敏感数据、实现持久化后门，最终完全接管整个 WordPress 站点。对这类能直接落地的 PHP 代码执行链路，系统学习 执行任意PHP代码，上传WebShell 的完整利用过程，能帮助防守方更准确地理解攻击者下一步会做什么。

处置建议

网站管理员应尽快完成以下操作：

1. 优先升级：将 Bricksforge 插件更新至 4.0.1 最新版本，封堵漏洞入口。
2. 流量审计：监控 /wp-json/bricksforge/v1/form_submit 接口请求，重点筛查携带 temporaryFileUploads 参数的异常访问，以及高频重复表单提交行为。
3. 目录巡检：检查 /wp-content/uploads/bricksforge/tmp/ 目录，排查是否存在异常 PHP 文件。
4. 深度防护：可在 Web 服务配置中禁止上传目录执行 PHP 代码，作为纵深防御手段。

连带漏洞提醒：多款 WP 插件同步遭受攻击

同一监测周期内，黑客还在利用另外两个 WordPress 插件 XSS 漏洞植入持久化后门：

1. WPC Product Bundles for WooCommerce，编号 CVE-2026-93836，CVSS 7.1，修复版本 8.6.7。
2. Ninja Forms，编号 CVE-2026-94504，CVSS 7.1，修复版本 3.15.4。

在这类攻击中，黑客利用 XSS向管理员浏览器注入JS脚本 x.js，在管理员会话下创建隐藏后台管理员账号、部署恶意插件，并生成魔法免登链接实现持久驻留。

这里有一个很容易被忽视的点：升级插件只能阻止新攻击，却无法清除已经植入的后门。建议管理员查询数据库排查隐藏管理员账号、检查 must-use 插件目录，并完整审计 Web 服务器日志。

WordPress 2026 Q2 安全态势

Wordfence 发布的季度统计显示，2026 年第二季度 WordPress 相关漏洞共计 2073 个，高危漏洞数量环比上涨 15.2%，达到 182 个，约 57.3 万个 WP 网站在本季度遭到入侵。

攻击者重点打击的 TOP5 漏洞如下：

1. CVE-2024-28000：LiteSpeed Cache，9.8 分，未授权提权。
2. CVE-2019-9879：WPGraphQL，9.8 分，创建管理员账号。
3. CVE-2016-15042：前端文件管理器，9.8 分，任意文件上传。
4. CVE-2023-28121：WooCommerce Payments，9.8 分，认证绕过提权。
5. CVE-2025-3102：SureTriggers，8.1 分，未授权创建管理员。

攻击 IP 来源地排名中，美国排第一，其次为德国、捷克、澳大利亚、挪威、法国等。Wordfence 建议，防火墙、及时补丁、安全加固、持续漏洞扫描与文件变更告警，是保护 WordPress 站点的核心手段。

资讯来源：The Hacker News