- Patchstack首次观察到针对Bricksforge的利用活动是在10月7日21:47 UTC。
- 截至3.1.8.9的Bricksforge版本受到影响，而3.1.8.10版本修复了该漏洞。
- 任意PHP执行可能让攻击者部署WebShell、修改网站内容、读取敏感数据并建立持久访问。
Patchstack表示，其于10月7日21:47 UTC首次观察到针对Bricksforge的利用活动，并于10月8日发布了报告。
该漏洞影响截至3.1.8.9的Bricksforge版本。攻击者可以利用它在服务器上执行任意PHP代码、部署WebShell、修改网站内容、读取敏感数据并建立持久访问。
Bricksforge是一个WordPress插件，而WordPress是一种用于网站、在线商店、论坛和其他Web内容的Web内容管理系统。The Hacker News表示，该漏洞被跟踪为CVE-2026-85097，CVSS评分为10.0。
Bricksforge信任客户端提供的上传元数据
Bricksforge会验证上传文件的MIME类型，但在提交表单时会进一步信任客户端发送的元数据。具体来说，它不会验证temporaryFileUploads参数中的URL字段。
Patchstack描述了一条攻击路径：攻击者先从未经身份验证的bricksforge_regenerate_nonce AJAX端点请求有效nonce，然后上传GIF/PHP多态文件，这种文件既是有效图像，又包含PHP代码。
Patchstack记录了利用尝试中的63个源IP地址
大多数利用尝试针对Bricksforge REST API表单提交端点。其中一次尝试针对admin-ajax.php。
Patchstack记录了63个唯一源IP地址，其中最活跃的6个约占请求量的46%。
一个集群涉及44个IP地址在数秒内发送56个相同请求。另一个集群使用3个IP地址，针对同一临时文件测试了25种PHP扩展和编码的变体。
Patchstack建议将Bricksforge更新到3.1.8.10或更高版本。它表示，如果无法立即更新，其针对CVE-2026-85097的RapidMitigate规则可以在流量层阻止利用尝试。
Patchstack表示，观察到的活动表明攻击者通过轮换代理或分布式基础设施进行自动化利用，但没有将该活动归因于某个威胁行为者。
防守方现在要做什么
- 将Bricksforge更新到3.1.8.10或更高版本。
常见问题
Bricksforge WordPress插件发生了什么？
Patchstack表示，其于10月7日首次观察到针对Bricksforge的利用活动，并于10月8日发布了报告。
哪些Bricksforge版本受到影响？
截至并包括3.1.8.9的Bricksforge版本受到影响。3.1.8.10版本修复了该漏洞。
Bricksforge漏洞能做什么？
它可能允许在服务器上执行任意PHP代码，使攻击者能够部署WebShell、修改网站内容、读取敏感数据并建立持久访问。
Bricksforge漏洞是否已被利用？
是。Patchstack表示，该漏洞正在野外遭到针对，并首次在10月7日21:47 UTC观察到利用活动。
如何修复Bricksforge中的CVE-2026-85097？
将Bricksforge更新到3.1.8.10或更高版本。Patchstack表示，如果无法立即更新，其RapidMitigate规则可以在流量层阻止利用尝试。
来源
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| Patchstack表示，Bricksforge漏洞正在野外遭到针对。 | Patchstack | 引述 |
| Patchstack首次观察到利用活动是在2026年10月7日21:47 UTC。 | Patchstack | 引述 |
| The Hacker News表示，Bricksforge漏洞为CVE-2026-85097，CVSS评分为10.0。 | The Hacker News | 引述 |
| 该漏洞影响截至3.1.8.9的Bricksforge版本，3.1.8.10版本修复了该漏洞。 | Patchstack | 已证实 |
| Bricksforge在验证上传文件的MIME类型后，未能验证temporaryFileUploads中的URL字段。 | Patchstack | 已证实 |
| 由此产生的任意PHP执行可能让攻击者部署WebShell、修改网站内容、读取敏感数据并建立持久访问。 | Patchstack | 已证实 |
| 大多数利用尝试针对Bricksforge REST API表单提交端点，另有一次命中admin-ajax.php。 | Patchstack | 已证实 |
| Patchstack记录了63个唯一源IP地址，其中最活跃的6个约占请求量的46%。 | Patchstack | 已证实 |
| 一个利用集群涉及44个IP地址在数秒内发送56个相同请求，另一个集群从3个IP地址测试了25种扩展名变体。 | Patchstack | 已证实 |
| Patchstack表示，观察到的模式表明存在自动化利用，但没有将该活动归因于某个威胁行为者。 | Patchstack | 引述 |
| Patchstack表示，如果无法立即更新，其RapidMitigate规则可以阻止利用尝试。 | Patchstack | 已证实 |
| WordPress是一种用于网站、在线商店、论坛和其他Web内容的Web内容管理系统。 | Wikipedia | 已证实 |
| patchstack.com于2026年10月8日发布了其报告。 | patchstack.com | 已证实 |
未能核实
- 尚无法确定攻击者是否成功入侵了任何特定的Bricksforge网站
- 尚无法确定有多少网站受到影响
- 尚无法确定该活动是否由一个威胁行为者实施
