Bricksforge'daki en yüksek kritiklikteki açıkla WordPress sitelerinde kod çalıştırılıyor

WordPress'in görsel site oluşturucusu Bricks için geliştirilen popüler eklenti Bricksforge'daki en yüksek kritiklik derecesine sahip bir açık, saldırganlar tarafından kimlik doğrulaması gerekmeden PHP kodu yükleyip çalıştırmak için aktif olarak kullanılıyor. Açığı CVSS 10.0 olarak derecelendiren WordPress güvenlik şirketi Patchstack'e göre CVE-2026-85097 kimlikli açığa yönelik ilk istismar girişimi 7 Ekim 2026'da saat 21.47'de (UTC) kaydedildi. Başarılı saldırılar uzaktan kod çalıştırmaya yol açtığı için etkilenen sürümleri kullanan sitelerin tamamen ele geçirilme riski bulunuyor.

Neler oldu?

Patchstack'in 8 Ekim tarihli duyurusuna göre açık Bricksforge 3.1.8.9 ve önceki sürümleri etkiliyor ve 3.1.8.10 sürümünde giderildi. İstismarı 12 Ekim'de haberleştiren The Hacker News ise düzeltilmiş sürüm olarak hem 3.1.8.10'un hem de sonraki 4.0.1 sürümünün anıldığını belirterek kullanıcılara en güncel sürüme geçmelerini tavsiye etti.

Patchstack, istismar trafiğinin 63 farklı IP adresinden geldiğini, en aktif altı adresin isteklerin yaklaşık yüzde 46'sını oluşturduğunu aktardı. Bir kümede 44 IP adresi birkaç saniye arayla aynı içerikte 56 istek gönderirken, üç IP adresi aynı geçici dosya üzerinde 25 farklı PHP uzantısı ve kodlama varyasyonu denedi. Patchstack bu tablonun büyük olasılıkla dönen proxy'ler veya dağıtık altyapı üzerinden yürütülen otomatik saldırılara işaret ettiğini, ancak verilerin tek başına faaliyeti belirli bir tehdit aktörüne bağlamaya yetmediğini vurguladı.

Teknik detaylar

Patchstack'e göre Bricksforge, dosya ilk yüklendiğinde MIME türünü denetliyor ancak form gönderildiğinde istemcinin ilettiği verilere, özellikle temporaryFileUploads parametresindeki url alanına güveniyor. The Hacker News'in Wordfence duyurusuna dayanarak aktardığına göre saldırganlar kimlik doğrulaması istemeyen bir AJAX işleminden geçerli bir nonce alıyor, hem geçerli bir görsel olan hem de PHP kodu barındıran bir dosya yüklüyor ve ardından eklentinin bu içeriği PHP uzantılı bir konuma yazmasını sağlıyor. Dosya çağrıldığında içindeki kod çalışıyor.

Patchstack, girişimlerin çoğunun /wp-json/bricksforge/v1/form_submit REST uç noktasını, bir kısmının da bricksforge_form_submit işlemiyle admin-ajax.php dosyasını hedef aldığını belirtti. Saldırganlar filtreleri aşmak için .phtml, .php7 gibi alternatif uzantılar, büyük-küçük harf değişiklikleri ve URL kodlaması kullandı.

Kimler etkileniyor?

Saldırı oturum açmayı gerektirmediğinden Bricksforge 3.1.8.9 veya önceki bir sürümü çalıştıran her WordPress sitesi risk altında. The Hacker News'e göre başarılı istismar, web shell yerleştirmek, hassas verileri okumak ve kalıcı erişim sağlamak için kullanılabiliyor.

Ne yapmalı?

• Bricksforge'u derhâl 3.1.8.10 veya üstüne güncelleyin; The Hacker News en güncel 4.0.1 sürümünü öneriyor.
• Web sunucusu kayıtlarında form gönderim uç noktasına gelen ve temporaryFileUploads parametresi içeren istekleri, ayrıca bricksforge_regenerate_nonce çağrısının ardından gelen yüklemeleri inceleyin.
• /wp-content/uploads/bricksforge/tmp/ ve diğer yükleme klasörlerinde beklenmeyen PHP dosyalarını arayın; Patchstack özellikle login_admin_*.php adlı dosyalara dikkat çekti.
• Patchstack'e göre güncelleme önceden gerçekleşmiş bir ele geçirmeyi geri almıyor. Korumasız şekilde savunmasız sürümü çalıştırmış siteler yetkisiz değişiklikler ve bilinmeyen yönetici hesapları açısından denetlenmeli.