У плагіні Bricksforge для WordPress виявили критичну вразливість CVE-2026-85097, спроби використати яку вже зафіксувала компанія Patchstack. Проблема стосується сайтів, де встановлено Bricksforge версії 3.1.8.9 або старішої. Виправлення доступне у версії 3.1.8.10.
Bricksforge є комерційним доповненням до візуального конструктора сайтів Bricks. Воно додає, зокрема, інструменти для форм, анімацій і сторінок адміністративної панелі. За оцінкою Patchstack, плагін використовують приблизно на 6 000 сайтах.
Уразливі версії до 3.1.8.9 включно
Атака не потребує входу до облікового запису WordPress. Якщо на сайті працює вразлива версія, стороння людина може спробувати завантажити на сервер довільний файл, зокрема файл із PHP-кодом. PHP-код виконується сервером, тому така помилка потенційно дає нападнику змогу керувати скомпрометованим сайтом.
Власникам сайтів і вебстудіям, які підтримують проєкти на Bricks, слід перевірити встановлену версію саме Bricksforge та оновити плагін до 3.1.8.10. Наявність конструктора Bricks сама по собі не означає, що сайт має цю вразливість: вона пов’язана з доповненням Bricksforge.
Patchstack повідомила, що вперше побачила спроби експлуатації 7 жовтня 2026 року. У телеметрії компанії виділилися дві групи запитів: одна надсилала однакові дані з багатьох адрес майже одночасно, інша перебирала варіанти PHP-розширень для тимчасового файлу. Така поведінка схожа на автоматизований пошук уразливих сайтів через розподілену інфраструктуру, але не встановлює, хто саме стоїть за атаками.