【安全圈】WordPress Bricksforge曝10分满分RCE：未认证任意文件上传在野遭批量利用

安全圈 · 2026-10-12 17:29 · 40 阅读

安全圈 2026-10-12 17:29 江苏

关键词漏洞核心事件快报：2026年10月12日，知名 WordPress 网页构建增强插件 Bricksfor

关键词

漏洞

核心事件快报：2026年10月12日，知名 WordPress 网页构建增强插件 Bricksforge 被安全厂商 Patchstack 披露存在 CVSS 10.0 满分严重漏洞（编号 CVE-2026-85097）。未经身份验证的外部攻击者可通过精巧构造的元数据绕过，直接向服务器上传并执行任意恶意 PHP 代码，目前在野已捕获针对全网站点的自动化探测与分布式利用行为。

🔍 漏洞机理：多阶段校验脱节导致多语言伪装穿透

Bricksforge 被称为 Bricks 可视化建站工具的“瑞士军刀”，集成了丰富的动画与高级表单组件。本次曝光的 CVE-2026-85097 漏洞直接根源于临时文件上传与表单提交阶段的元数据信任不一致问题：

公开端点获取合法 Nonce
：攻击者首先无需凭据访问公开的 bricksforge_regenerate_nonce AJAX 端点，获取合法请求令牌。
初次上传合规多语言图片木马
：攻击者上传 GIF/PHP 混合文件（Polyglot），由于初始上传严格比对 MIME 类型，该文件顺利通过图片特征核验并被存入临时上传目录。
表单二次提交元数据欺骗
：在随后提交表单时，攻击者在 temporaryFileUploads 参数中传递特制元数据：服务端本地路径 file 指向刚上传的合法 GIF 图片，而客户端传入的 url 参数却强制指定 .php 后缀。
逻辑盲信导致可执行后门落地
：插件在持久化写入阶段过度信任客户端提交的元数据，将图片内容转存为指定 URL 后缀的 PHP 脚本，从而在访问该文件时触发系统级远程代码执行（RCE）。

⚡ 在野遥测：分布式代理网络全网狂轰滥炸

据 Patchstack 与 Wordfence 的威胁情报显示，黑客组织早在 2026年10月7日 21:47 UTC 便已启动大规模在野自动化扫描，呈现出极高协同性与规避技巧：

绕过后缀黑名单过滤
：攻击流量大量测试变形扩展名，包括备用 PHP 后缀（.php5、.php7、.phtml）、大小写混淆（.PHP、.Php、.pHp）以及 URL 双重编码绕过（.%70hp、%2ephp、.%2570%2568%2570）。
自动化分布式轮换探测
：监控探针记录到 63 个独立源 IP 构成的扫描网络，其中 6 个核心 IP 贡献了超过 46% 的高频突发流量，并在秒级内对目标站点批量回放相同载荷。
攻击入口覆盖
：攻击主要聚焦于 REST API 端点 /wp-json/bricksforge/v1/form_submit 以及传统 AJAX 接口 /wp-admin/admin-ajax.php?action=bricksforge_form_submit。

🛡️ 应急处置与防御加固方案

由于漏洞利用门槛极低且已有成熟在野扫描器，所有运行该插件的站点管理员应立即采取断然措施：

立即升级至已修补版本
：受影响范围涵盖 Bricksforge 3.1.8.9 及以下所有版本。官方已在 3.1.8.10 及最新的 4.0.1 版本中修复该漏洞，请第一时间升级。
WAF 规则前置阻断
：在 Web 应用防火墙中检测并拦截针对 form_submit 端点包含恶意文件扩展名或编码变体的 temporaryFileUploads JSON 载荷。
封禁高危攻击 IP 节点
：重点排查并拦截恶意探测源，包括 177.75.57[.]20、23.97.62[.]146、84.247.60[.]125、38.154.185[.]97、150.109.16[.]166 及 153.75.90[.]146。
盘查上传目录异常可执行文件
：全面检查 wp-content/uploads/bricksforge/tmp/ 及周边目录，清除所有具有 PHP 解析能力的可疑文件并撤销上传目录执行权限。