Detectan en WordPress una vulnerabilidad crítica (10/10): atacantes ya suben archivos PHP sin contraseña.
Una comprobación rutinaria de archivos pasó por alto una peligrosa manipulación que ahora se usa en ataques reales.
Se ha descubierto una vulnerabilidad crítica en WordPress, a través de la cual los atacantes ya intentan subir archivos PHP ejecutables sin contraseña. El problema se encuentra en el plugin Bricksforge, y Patchstack la evaluó con la puntuación máxima de 10.
La vulnerabilidad CVE-2026-85097 afecta a Bricksforge versión 3.1.8.9 y anteriores. Los desarrolladores solucionaron el problema en la versión 3.1.8.10. Bricksforge amplía las capacidades del constructor visual Bricks Builder y añade formularios, animaciones y elementos interactivos.
La causa está relacionada con el parámetro temporaryFileUploads. Al cargar por primera vez, Bricksforge verifica el tipo MIME, pero luego confía en la URL del archivo enviada por el navegador. Un atacante puede provocar una discrepancia entre el contenido ya verificado y el nombre final del archivo.
El atacante primero obtiene un nonce de servicio mediante un manejador AJAX accesible sin autenticación, luego envía un archivo GIF híbrido con código PHP incrustado. La comprobación reconoce una imagen válida. Después el atacante sustituye la URL en los metadatos por una dirección con extensión .php. Como resultado, el servidor puede guardar el contenido de la imagen como un script ejecutable.
Para la fase final, con frecuencia se usa la API REST en /wp-json/bricksforge/v1/form_submit. Ejecutar el archivo PHP subido permite ejecutar comandos en el servidor, colocar web shells y modificar el contenido del sitio. No se necesita una cuenta de WordPress para la explotación.
Patchstack detectó por primera vez intentos de explotación el 7 de octubre de 2026 a las 21:47 UTC. Los especialistas registraron solicitudes desde 63 direcciones IP únicas. Un grupo de 44 direcciones envió 56 solicitudes idénticas en cuestión de segundos, y otras tres direcciones probaron 25 variantes de extensiones PHP y de su codificación.
En el 95% de las solicitudes interceptadas, la ruta al archivo original terminaba en .gif o .png, mientras que la dirección final a menudo apuntaba a un script PHP. Se observaron extensiones .php5, .phtml, distintas variaciones de mayúsculas y minúsculas y caracteres codificados. Intentos aislados intentaron crear archivos login_admin_*.php en la carpeta de cargas estándar de WordPress.
Patchstack describió la mecánica del ataque y reportó una regla de protección RapidMitigate. Sin embargo, el número de solicitudes y de direcciones IP no equivale al número de sitios comprometidos. En el registro CVE la vulnerabilidad obtuvo 9,8 puntos, mientras Patchstack la evaluó en 10.
Se recomienda a los administradores actualizar inmediatamente a Bricksforge 3.1.8.10 o a una versión más reciente. Si el sitio funcionaba con una versión vulnerable, conviene revisar los registros de solicitudes al manejador de envío de formularios, las carpetas de subidas y los archivos PHP que hayan aparecido recientemente. Ataques similares afectaron anteriormente a los plugins Elementor Pro y Super Forms, donde una carga peligrosa también permitía la ejecución de código.