Una vulnerabilidad de máxima severidad en el plugin Bricksforge para WordPress ha sido explotada en ataques reales, según informó Patchstack. La falla crítica, identificada como CVE-2026-85097 con una puntuación CVSS de 10.0, permite a atacantes no autenticados subir y ejecutar código PHP arbitrario en sitios WordPress vulnerables, lo que deriva en ejecución remota de código (RCE). La vulnerabilidad afecta a las versiones de Bricksforge hasta la 3.1.8.9 inclusive, y los parches se publicaron en la versión 3.1.8.10.
Bricksforge es un plugin de WordPress que se promociona como una 'navaja suiza' para Bricks, una herramienta visual de creación de sitios web para WordPress, con soporte para animaciones, formularios avanzados y secuencias de video con desplazamiento.
La empresa de seguridad WordPress Patchstack declaró que detectó intentos de explotación dirigidos a esta falla el 7 de octubre de 2026 a las 21:47 UTC.
Según Patchstack, Bricksforge valida el tipo MIME de un archivo cuando se sube por primera vez. Sin embargo, cuando posteriormente se envía un formulario, confía en los metadatos del archivo que envía el cliente. En particular, no valida el campo 'url' dentro del parámetro 'temporaryFileUploads'.
A grandes rasgos, la vulnerabilidad se origina por una validación insuficiente del campo URL en el parámetro 'temporaryFileUploads' durante el envío de formularios. Un atacante podría explotar esta brecha para lograr RCE a través de cuatro pasos:
- Solicitar un nonce válido desde el endpoint AJAX 'bricksforge_regenerate_nonce' sin autenticación.
- Subir un archivo poliglota GIF/PHP: un archivo que es una imagen válida pero también contiene código PHP. Pasa la verificación MIME y se almacena en el directorio de subidas temporales.
- Enviar un formulario donde la ruta del 'file' apunta a esa imagen validada, pero la 'url' termina con una extensión PHP.
- Bricksforge confía implícitamente en los metadatos enviados y coloca el contenido del archivo en la ubicación PHP, lo que provoca la ejecución del código incrustado cuando se solicita ese archivo.
Wordfence también emitió un aviso sobre la falla: 'Un atacante no autenticado puede obtener primero un nonce válido a través del endpoint AJAX bricksforge_regenerate_nonce, luego subir un archivo poliglota GIF/PHP al directorio de subidas temporales donde se realiza correctamente la validación del tipo MIME. Posteriormente, el atacante puede enviar un formulario con un parámetro temporaryFileUploads manipulado donde la ruta del archivo del lado del servidor apunta al archivo GIF validado, pero el campo url controlado por el atacante termina con una extensión .php'.
La explotación exitosa de esta falla podría resultar en la ejecución arbitraria de PHP en el servidor, lo que un atacante podría aprovechar para tomar el control del sitio WordPress, desplegar shells web, leer datos sensibles y establecer acceso persistente.
En los ataques observados por Patchstack, se ha visto a actores de amenazas dirigirse al endpoint de envío de formularios de la API REST de Bricksforge ('/wp-json/bricksforge/v1/form_submit') o al endpoint '/wp-admin/admin-ajax.php' con la acción 'bricksforge_form_submit' junto con un parámetro 'temporaryFileUploads' manipulado.
Tal como especifica Wordfence, los actores de amenazas explotan una discrepancia donde el argumento 'file' especificado es un archivo GIF (o PNG), mientras que la URL real apunta a un payload PHP.
Para eludir el filtrado de extensiones, la actividad de explotación utiliza extensiones PHP alternativas (por ejemplo, .php5, .php7 o .phtml), manipulación de mayúsculas y minúsculas (por ejemplo, .PHP, .Php o .pHp) y extensiones codificadas (por ejemplo, .%70hp, %2ephp o .%2570%2568%2570).
Patchstack señala: 'Dos clústeres destacan en nuestra telemetría. En el primero, 44 IPs enviaron 56 solicitudes con payloads idénticos en cuestión de segundos. En el segundo, tres IPs probaron 25 variaciones de extensiones y codificaciones PHP contra el mismo archivo temporal'. 'Ambos patrones apuntan a explotación automatizada a través de proxies rotativos o infraestructura distribuida. Por sí solos, no atribuyen la actividad a un único actor de amenazas'.
La actividad se ha registrado desde 63 direcciones IP únicas, y seis de ellas concentran aproximadamente el 46% de todas las solicitudes: 177.75.57[.]20, 23.97.62[.]146, 84.247.60[.]125, 38.154.185[.]97, 150.109.16[.]166 y 153.75.90[.]146.
Se recomienda a los usuarios actualizar a la última versión del plugin (4.0.1) para mitigar la amenaza. También se aconseja a los propietarios de sitios auditar las solicitudes entrantes al endpoint '/wp-json/bricksforge/v1/form_submit' que contengan un parámetro 'temporaryFileUploads', así como los envíos repetidos de formularios y los archivos PHP inesperados en '/wp-content/uploads/bricksforge/tmp/'.
Vulnerabilidades en WPC Product Bundles para WooCommerce y Ninja Forms explotadas
La divulgación se produce mientras actores de amenazas también están abusando de vulnerabilidades de cross-site scripting (XSS) en dos plugins de WordPress no relacionados, WPC Product Bundles for WooCommerce (CVE-2026-93836, puntuación CVSS: 7.1) y Ninja Forms (CVE-2026-94504, puntuación CVSS: 7.1), para entregar un payload JavaScript ('x.js') capaz de desplegar un plugin backdoor y crear cuentas de administrador fraudulentas.
El plugin incluye un gestor de archivos no autenticado accesible mediante una solicitud directa al archivo PHP principal del plugin. También crea un administrador de WordPress oculto en la pantalla de Usuarios e instala una URL de inicio de sesión mágica, que autentica al portador como el administrador más antiguo del sitio.
Patchstack afirma: 'Es un implante de post-explotación y persistencia de WordPress diseñado para ejecutarse dentro del navegador de un administrador con sesión iniciada. Una vez activado, abusa de la sesión autenticada de wp-admin de la víctima para instalar un plugin malicioso, crear una nueva cuenta de administrador, invocar un mecanismo de persistencia oculto adicional y reportar los resultados a infraestructura controlada por el atacante'.
Cabe destacar que, aunque actualizar los plugins vulnerables (versión 8.6.7 para WPC Product Bundles for WooCommerce y versión 3.15.4 para Ninja Forms) previene una mayor explotación, no elimina una infección existente. Es esencial que los propietarios de sitios auditen la presencia de administradores ocultos consultando directamente la base de datos, revisen el directorio de plugins must-use y examinen los registros del servidor web.
Tendencias de explotación de WordPress en el segundo trimestre de 2026
Según datos de Wordfence, en el segundo trimestre de 2026 se publicaron un total de 2.073 vulnerabilidades relacionadas con WordPress, y el número de fallas de alto riesgo aumentó un 15,2% respecto al trimestre anterior, hasta 182. Aproximadamente 573.000 sitios WordPress fueron comprometidos durante ese período.
Las cinco vulnerabilidades más atacadas por los atacantes son las siguientes:
- CVE-2024-28000 (CVSS 9.8) – LiteSpeed Cache <= 6.3.0.1 – Escalada de privilegios sin autenticación
- CVE-2019-9879 (CVSS 9.8) – WPGraphQL <= 0.2.3 – Creación de usuario administrador
- CVE-2016-15042 (CVSS 9.8) – Frontend File Manager < 4.0 & N-Media Post Front-end Form < 1.1 – Subida arbitraria de archivos
- CVE-2023-28121 (CVSS 9.8) – WooCommerce Payments 4.8.0 – 5.6.1 – Omisión de autenticación y escalada de privilegios
- CVE-2025-3102 (CVSS 8.1) – SureTriggers <= 1.0.78 – Creación de usuario administrador sin autenticación
La gran mayoría de las direcciones IP atacantes se originaron en Estados Unidos, seguidas de Alemania, Chequia, Australia, Noruega, Francia, Ucrania, Países Bajos, Suiza y Brasil.
Wordfence aconseja: 'Un firewall sólido, parches de vulnerabilidad oportunos y configuraciones endurecidas ayudan a bloquear el tráfico malicioso antes de que llegue a su sitio. Un escaneo exhaustivo ayuda a identificar vulnerabilidades, malware o cambios sospechosos en su sitio que podrían indicar un intento de compromiso. Las alertas en tiempo real sobre eventos críticos, intentos de inicio de sesión y cambios en archivos ayudan a mantenerse por delante de las amenazas'.
Deja una respuesta