Kritieke Bricksforge-kwetsbaarheid CVE-2026-85097 wordt actief aangevallen
Een kritieke beveiligingskwetsbaarheid in de WordPress-plugin Bricksforge wordt actief aangevallen. De kwetsbaarheid, geregistreerd als CVE-2026-85097, maakt het mogelijk om zonder inloggegevens kwaadaardige PHP-bestanden op een kwetsbare WordPress-server te plaatsen en uit te voeren.
Beveiligingsonderzoekers van Patchstack hebben daadwerkelijk aanvalspogingen waargenomen. De eerste activiteit werd geregistreerd op 7 oktober 2026 om 21:47 UTC. Websitebeheerders die Bricksforge gebruiken, wordt dringend geadviseerd hun installatie te controleren en onmiddellijk bij te werken.
Wat is Bricksforge?
Bricksforge is een commerciële uitbreiding voor Bricks Builder, een populaire visuele websitebouwer voor WordPress. De plugin biedt aanvullende mogelijkheden voor onder andere formulieren, animaties, dynamische content en aanpassingen aan de WordPress-beheeromgeving.
De kwetsbaarheid bevindt zich in de verwerking van bestandsuploads binnen de Pro Forms-functionaliteit.
Hoe ernstig is CVE-2026-85097?
De kwetsbaarheid maakt een zogenaamde unauthenticated arbitrary file upload mogelijk. Dit betekent dat een aanvaller zonder geldig WordPress-account bestanden naar de server kan uploaden.
Door onvoldoende controle van aangeleverde bestandsinformatie kan een aanvaller deze functionaliteit misbruiken om PHP-code op de server uit te voeren. Dit wordt aangeduid als Remote Code Execution (RCE).
De mogelijke gevolgen zijn ernstig:
- Uitvoering van kwaadaardige PHP-code op de webserver.
- Plaatsing van webshells en andere malware.
- Manipulatie van websitebestanden en databasegegevens.
- Ongeautoriseerde toegang tot gevoelige informatie.
- Het creëren van aanvullende toegangsmogelijkheden voor aanvallers.
De uitgevoerde code draait met de rechten van het proces dat de website verwerkt. De kwetsbaarheid geeft dus niet automatisch rootrechten op de server, maar kan wel leiden tot volledige compromittering van de betreffende WordPress-installatie.
Welke versies zijn kwetsbaar?
- CVE: CVE-2026-85097
- Software: Bricksforge voor WordPress
- Kwetsbare versies: 3.1.8.9 en ouder volgens Patchstack
- Beveiligingsupdate 3.x: 3.1.8.10
- Actuele beveiligingsupdate 4.x: 4.0.1
- Ernst: kritiek
- CVSS: 9.8 volgens de CVE-beoordeling; 10.0 volgens Patchstack
- Authenticatie vereist: nee
- Exploitstatus: actieve aanvalspogingen bevestigd
De ontwikkelaar bevestigt dat versie 4.0.1 een beveiligingsprobleem met Pro Forms-bestandsuploads verhelpt. Omdat de publieke kwetsbaarheidsregistratie vooral de 3.x-versies beschrijft, adviseren wij gebruikers van versie 4.0.0 eveneens onmiddellijk naar versie 4.0.1 te updaten.
Aanvallers misbruiken kwetsbare formulieren
De kwetsbaarheid ontstaat doordat Bricksforge bepaalde bestandsinformatie onvoldoende opnieuw controleert wanneer een formulier wordt verzonden.
Een aanvaller kan deze ontbrekende validatie misbruiken om een eerder geüpload bestand onder een uitvoerbare PHP-bestandsnaam op de server te laten opslaan.
Volgens Patchstack richten de waargenomen aanvallen zich voornamelijk op het volgende WordPress REST API-endpoint:
/wp-json/bricksforge/v1/form_submitOok de WordPress AJAX-functionaliteit wordt gebruikt om kwetsbare installaties aan te vallen.
Belangrijk: de ontwikkelaar meldt dat iedere website met de Pro Forms-functionaliteit ingeschakeld mogelijk kwetsbaar is, ook wanneer formulieren geen zichtbaar bestandsuploadveld bevatten.
Wordt de kwetsbaarheid actief misbruikt?
Ja. Patchstack bevestigt dat aanvallers sinds 7 oktober 2026 pogingen ondernemen om CVE-2026-85097 uit te buiten.
De onderzoekers registreerden activiteit afkomstig van 63 verschillende IP-adressen. Een deel van de aanvallen vertoonde kenmerken van geautomatiseerde exploitatie.
Deze waarnemingen bevestigen actieve aanvalspogingen, maar betekenen niet dat alle aangevallen websites daadwerkelijk zijn gecompromitteerd. Het aantal succesvol overgenomen websites is niet vastgesteld.
Hoe controleert u of uw website is aangevallen?
Beheerders van websites die een kwetsbare Bricksforge-versie gebruikten, wordt geadviseerd de website en serverlogs te onderzoeken.
Controleer in het bijzonder:
- POST-verzoeken naar
/wp-json/bricksforge/v1/form_submit. - Verdachte verzoeken met de parameter
temporaryFileUploads. - Onverwachte PHP-bestanden in
/wp-content/uploads/. - Verdachte bestanden in
/wp-content/uploads/bricksforge/tmp/. - Onbekende bestanden met namen zoals
login_admin_*.php. - Onbekende WordPress-beheerdersaccounts.
- Onverwachte wijzigingen in plugins, thema’s en WordPress-bestanden.
Controleer waar mogelijk ook historische logs vanaf 7 oktober 2026. Een inmiddels bijgewerkte plugin sluit niet uit dat eerder kwaadaardige bestanden zijn geplaatst.
Wanneer aanwijzingen voor compromittering worden aangetroffen, adviseren wij de website te isoleren, relevante logbestanden veilig te stellen en een volledig beveiligingsonderzoek uit te voeren voordat de website opnieuw beschikbaar wordt gemaakt.
Wat moeten websitebeheerders nu doen?
- Controleer of Bricksforge op uw WordPress-website aanwezig is.
- Werk Bricksforge onmiddellijk bij naar een beveiligde versie, bij voorkeur de actuele release 4.0.1 of nieuwer.
- Controleer of de update daadwerkelijk is geïnstalleerd.
- Onderzoek kwetsbare installaties op verdachte bestanden en activiteiten.
- Controleer WordPress-gebruikersaccounts en administratieve wijzigingen.
- Maak een betrouwbare back-up en controleer de integriteit van de website.
- Gebruik waar mogelijk aanvullende bescherming tegen kwetsbare WordPress-componenten.
Patchstack heeft een specifieke beveiligingsregel beschikbaar gesteld om aanvallen op deze kwetsbaarheid tegen te houden. Dit kan aanvullende bescherming bieden wanneer een update niet onmiddellijk mogelijk is.
Een firewallregel is echter geen vervanging voor het installeren van de beveiligingsupdate.
WordPress-beveiliging bij Vservs
Kwetsbaarheden in WordPress-plugins kunnen ernstige gevolgen hebben voor websites, webshops en de gegevens die zij verwerken.
Vservs adviseert websitebeheerders om WordPress, geïnstalleerde plugins en thema’s regelmatig bij te werken en beveiligingsmeldingen tijdig op te volgen.
Met onze Managed VPS-oplossingen bieden wij professionele hostingomgevingen met aandacht voor serverbeheer, beveiligingsupdates en monitoring.
De beveiliging van applicaties blijft daarbij een gezamenlijke verantwoordelijkheid van de hostingprovider, websitebeheerder en eventuele websiteontwikkelaar.