根据 Patchstack 的报告，影响 WordPress 的 Bricksforge 插件的最高严重性安全漏洞已在野外被积极利用。
该关键漏洞是 CVE-2026-85097（CVSS 分数：10.0），允许未经身份验证的攻击者在易受攻击的 WordPress 网站上上传并执行任意 PHP 代码，从而导致远程代码执行（RCE）。该安全漏洞影响 Bricksforge 版本 3.1.8.9 及之前的版本。补丁已在版本 3.1.8.10 中发布。
Bricksforge 是一个 WordPress 插件，被宣传为 Bricks 的“瑞士军刀”，Bricks 是一个用于 WordPress 的可视化网站构建工具，支持动画、高级表单和滚动视频序列。
WordPress 安全公司 Patchstack 表示，它在 2026 年 10 月 7 日 UTC 时间晚上 9:47 检测到了针对该漏洞的利用尝试。
“Bricksforge 在首次上传文件时会验证文件的 MIME 类型。然而，当表单稍后提交时，它信任客户端发送的文件元数据，”Patchstack 说。“特别是，它没有验证 'temporaryFileUploads' 参数中的 'url' 字段。”
从高层次来看，该漏洞源于在表单提交过程中对 'temporaryFileUploads' 参数中的 URL 字段验证不足。攻击者可以通过四个步骤利用此漏洞实现 RCE -
从未经身份验证的 'bricksforge_regenerate_nonce' AJAX 端点请求一个有效的 nonce。
上传一个 GIF/PHP 多语言文件：一个有效的图像文件，但也包含 PHP 代码。它通过 MIME 检查并进入临时上传目录。
提交一个表单，其中 'file' 路径指向该经过验证的图像，但 'url' 以 PHP 扩展名结尾。
Bricksforge 隐式信任提交的元数据，并将文件内容放置在 PHP 位置，从而导致在请求该文件时执行嵌入的代码。
“未经身份验证的攻击者可以首先通过 bricksforge_regenerate_nonce AJAX 端点获取一个有效的 nonce，然后将 GIF/PHP 多语言文件上传到临时上传目录，在那里 MIME 类型验证被正确执行，”Wordfence 在该漏洞的公告中表示。
“随后，攻击者可以提交一个包含精心制作的 'temporaryFileUploads' 参数的表单，其中服务器端文件路径指向经过验证的 GIF 文件，但攻击者控制的 url 字段以 .php 扩展名结尾。”
成功利用该漏洞可能导致服务器上任意 PHP 执行，攻击者可以利用这一点控制 WordPress 网站，部署 Web Shell，读取敏感数据，并建立持久访问。
在 Patchstack 观察到的攻击中，威胁行为者被观察到针对 Bricksforge REST API 表单提交端点（"/wp-json/bricksforge/v1/form_submit"）或带有 "bricksforge_form_submit" 动作的 "/wp-admin/admin-ajax.php" 端点，使用精心制作的 "temporaryFileUploads" 参数。
一个代表性的请求如下 -
{
"temporaryFileUploads": [
{
"field": "form-field-file",
"file": {
"file": "/var/www/example.com/wp-content/uploads/bricksforge/tmp/img_example.gif",
"url": "https://example.com/wp-content/uploads/bricksforge/tmp/img_example.php",
"type": "image/gif"
}
}
]
}
正如 Wordfence 所指出的，威胁行为者正在利用指定的 "file" 参数是 GIF（或 PNG）文件，而实际的 URL 指向 PHP 有效负载之间的不匹配。
为了绕过扩展名过滤，利用活动使用了替代 PHP 扩展（例如，.php5、.php7 或 .phtml）、大小写操作（例如，.PHP、.Php 或 .pHp）和编码扩展（例如，.%70hp、%2ephp 或 .%2570%2568%2570）。
“在我们的遥测中，有两个集群特别突出。在第一个集群中，44 个 IP 在几秒钟内发送了 56 个相同有效负载的请求，”Patchstack 说。“在第二个集群中，三个 IP 测试了 25 种 PHP 扩展和编码的变体，针对同一个临时文件。”
“这两种模式都指向通过旋转代理或分布式基础设施进行的自动化利用。它们本身并不能将活动归因于单一威胁行为者。”
该活动已记录自 63 个独特的源 IP，其中六个占所有请求的大约 46% -
177.75.57[.]20
23.97.62[.]146
84.247.60[.]125
38.154.185[.]97
150.109.16[.]166
153.75.90[.]146
建议用户更新到最新版本的插件（4.0.1）以减轻威胁。建议网站所有者审核包含 "temporaryFileUploads" 参数的 "/wp-json/bricksforge/v1/form_submit" 端点的传入请求，以及重复的表单提交和 "/wp-content/uploads/bricksforge/tmp/" 中意外的 PHP 文件。
WPC 产品捆绑包和 Ninja Forms 漏洞被利用
此披露正值威胁行为者还在滥用两个无关的 WordPress 插件中的跨站脚本（XSS）漏洞，WPC 产品捆绑包（CVE-2026-93836，CVSS 分数：7.1）和 Ninja Forms（CVE-2026-94504，CVSS 分数：7.1），以传递能够部署后门插件和创建恶意管理员帐户的 JavaScript 有效负载（"x.js"）。
该插件具有一个未经身份验证的文件管理器，可以通过直接请求插件的主 PHP 文件访问。它还创建一个在用户屏幕上隐藏的 WordPress 管理员，并安装一个魔法登录 URL，使持有者作为网站的最古老管理员进行身份验证。
“这是一个设计用于在登录管理员的浏览器中执行的 WordPress 后利用和持久性植入物，”Patchstack 说。“一旦触发，它会滥用受害者的身份验证 wp-admin 会话来安装恶意 WordPress 插件，创建一个新的管理员帐户，调用额外的隐藏持久性机制，并将结果报告给攻击者控制的基础设施。”
值得强调的是，虽然更新受影响的插件（WPC 产品捆绑包的版本 8.6.7 和 Ninja Forms 的版本 3.15.4）可以防止进一步的利用，但它