Bricksforge 漏洞 CVE-2026-85097 被活跃利用，CVSS 评分满分

WordPress 插件 Bricksforge 的一个无需认证的任意文件上传漏洞 CVE-2026-85097 正在被活跃利用。Patchstack 给出的 CVSS 评分为 10 分（量表的最高值），Wordfence 评为 9.8 分，INCIBE-CERT 将其归类为 CWE-434。首批攻击出现在 2026 年 10 月 7 日 21:47 UTC，Patchstack 已观测到 63 个不同 IP 地址在寻找运行 Bricksforge 的站点。

漏洞影响 Bricksforge 3.1.8.9 及之前的所有版本，Patchstack 称该插件约有 6000 个活跃安装。修复版本 4.0.1 于 10 月 8 日发布，其公开更新日志指出，只要站点启用了 Pro Forms，即使表单没有上传字段同样会受影响。Bricksforge 是 Bricks 页面构建器的第三方扩展，需要与 2024 年曾遭攻击的 Bricks 主题区分开。

漏洞与影响范围

Bricksforge 是为 Bricks 页面构建器提供高级表单、动画和滚动联动视频序列的第三方扩展。安全研究者将其中的 CVE-2026-85097 定性为无需认证的任意文件上传漏洞，INCIBE-CERT 将其归类为 CWE-434，该缺陷最终会导致服务器上的远程代码执行。Patchstack 给出 CVSS 10 分，即评分量表的最高值，Wordfence 的评分为 9.8 分。

该漏洞影响 Bricksforge 3.1.8.9 及之前的所有版本。按 Patchstack 的数据，这款插件的活跃安装量约为 6000 个。需要区分的是，Bricksforge 是 Bricks 页面构建器的第三方扩展，The Hacker News 称其为 Bricks 的“瑞士军刀”，它与 Bricks 主题本身并非同一事物；Bricks 主题曾在 2024 年因自身的远程代码执行漏洞 CVE-2024-25600 遭到攻击。所查阅的来源只把这款插件标记为存在漏洞。

攻击如何实现

据 Patchstack 解释，问题源于一次性的检查：Bricksforge 在文件上传时验证 MIME 类型，也就是声明文件内容的标签，但在表单提交时却信任客户端发送的元数据，尤其没有校验 temporaryFileUploads 参数中的 url 字段。攻击链由此展开。

第一步，攻击者从无需登录即可访问的 AJAX 端点 bricksforge regenerate nonce 取得一个有效的 nonce。第二步，上传一个 GIF/PHP 混合文件，它既是合法图片又包含 PHP 代码，因而能通过 MIME 检查并落入临时目录。第三步，提交表单，让 file 字段指向这张已通过验证的图片，而 url 字段以 PHP 扩展名结尾。第四步，插件照单全收这些元数据，把文件内容写到 .php 位置，代码在首次请求该地址时即被执行。

据 Patchstack，涉及的代码位于 Pro Forms 动作目录下的 init.php 和 base.php。还有一个改变风险判断的细节：4.0.1 的公开更新日志指出，只要站点启用了 Pro Forms，即使表单没有上传字段同样会受影响，因此“我的表单不接受文件”并不足以让人放心。攻击者一旦得手，便可接管站点、安装 web shell（在服务器上充当远程控制的页面）、读取机密数据并获得持久访问权限。

攻击者与日志线索

首批攻击出现在 2026 年 10 月 7 日 21:47 UTC，Patchstack 已观测到 63 个不同 IP 地址在寻找运行 Bricksforge 的站点。The Hacker News 在 10 月 12 日于 X 上发帖概述了这一情况。

这些地址属于主机、云和商业服务提供商的网络，但一个 IP 只能说明租用服务器所在的位置。Patchstack 自己也强调，现有数据不足以把这一活动归因于某一个特定团体。

修复与处置建议

修复版本 4.0.1 已于 10 月 8 日发布。在站点完成更新之前，这扇门始终敞开，而且它甚至不要求密码，任何人都可能借 CVE-2026-85097 在 WordPress 服务器上运行 PHP。

来源给出的核心处置方式就是尽快升级到 4.0.1，并核对站点是否启用了 Pro Forms，因为正是在该功能开启的情况下，即便表单没有上传字段也处于受影响范围。

要点

• CVE-2026-85097 为无需登录的任意文件上传漏洞
• Patchstack 评分为 CVSS 10，Wordfence 评分为 9.8
• 首批攻击时间为 2026 年 10 月 7 日 21:47 UTC
• 63 个 IP 地址被观测到扫描，其中 6 个贡献约 46% 请求
• 修复版本 4.0.1 于 10 月 8 日发布