Una grave vulnerabilidad de seguridad, identificada como CVE-2026-85097 y con una puntuación CVSS de 10.0 (máxima criticidad), que afecta al plugin Bricksforge para WordPress, está siendo explotada activamente. La consultora de seguridad Patchstack detectó los primeros intentos de explotación el 7 de octubre de 2026. Esta falla permite a atacantes no autenticados subir y ejecutar código PHP arbitrario en sitios web WordPress vulnerables, logrando una ejecución remota de código (RCE) y obteniendo control total sobre el sitio. La vulnerabilidad impacta a las versiones de Bricksforge hasta la 3.1.8.9.
El método de ataque explota una validación insuficiente en el campo ‘url’ del parámetro ‘temporaryFileUploads’ durante el envío de formularios. Inicialmente, un atacante sube un archivo “políglota” GIF/PHP, que es válido como imagen pero contiene código PHP malicioso, pasando los controles de tipo MIME y siendo almacenado temporalmente. Posteriormente, al enviar un formulario, el atacante manipula el parámetro para que el servidor apunte a este archivo temporal, pero con una extensión .php en la URL, engañando a Bricksforge para que lo ejecute como código PHP. Esta técnica permite la instalación de “web shells”, el robo de datos sensibles y el establecimiento de acceso persistente. Los ataques se han dirigido a los endpoints /wp-json/bricksforge/v1/form_submit o /wp-admin/admin-ajax.php con la acción bricksforge_form_submit.
Para sortear las restricciones de extensión, los atacantes emplean extensiones PHP alternativas (.php5, .phtml), manipulación de mayúsculas y minúsculas (.PHP, .Php) y extensiones codificadas (.%70hp, .%2ephp). Se han observado dos patrones de ataque distintivos, uno con múltiples IPs y cargas útiles idénticas, y otro con variaciones de extensiones PHP, lo que sugiere una explotación automatizada y distribuida. Adicionalmente, se han detectado campañas de XSS que abusan de vulnerabilidades en los plugins WPC Product Bundles for WooCommerce (CVE-2026-93836) y Ninja Forms (CVE-2026-94504) para implementar “backdoors” y crear cuentas de administrador ocultas, lo que resalta una tendencia de ataques persistentes a través de plugins de WordPress.
La principal recomendación para los usuarios es actualizar inmediatamente el plugin Bricksforge a la versión 3.1.8.10 o posterior (la versión 4.0.1 es la más reciente sugerida en el registro de cambios de Bricksforge). Más allá de la actualización, es crucial auditar las solicitudes entrantes a los endpoints específicos mencionados que contengan el parámetro ‘temporaryFileUploads’, así como revisar envíos de formularios repetidos y la aparición de archivos PHP inesperados en el directorio /wp-content/uploads/bricksforge/tmp/. Para las vulnerabilidades de XSS en WPC Product Bundles y Ninja Forms, es imprescindible actualizar a las versiones 8.6.7 y 3.15.4 respectivamente, y luego realizar una auditoría exhaustiva para detectar y eliminar cualquier infección existente, como administradores ocultos o plugins maliciosos.
Qué significa para tu empresa: Una vulnerabilidad de ejecución remota de código en un plugin de WordPress de esta magnitud subraya la importancia crítica de proteger las aplicaciones web frente a ataques dirigidos. La exposición de sitios web a internet requiere una defensa proactiva que vaya más allá de los parches. Nuestra capacidad de WAF para aplicaciones es fundamental para filtrar y bloquear tráfico malicioso que intenta explotar fallos en el código, incluso antes de que los parches estén disponibles o se apliquen, ofreciendo una capa de seguridad esencial en entornos de nube híbrida.
Fuente original: The Hacker News — ver artículo →