Falla crítica en el complemento Bricksforge para WordPress permite subir código sin autenticación y ya se explota

La empresa de seguridad Patchstack detectó ataques automatizados contra una falla crítica de Bricksforge, un complemento pago de WordPress que amplía el constructor de páginas Bricks Builder. La falla permite que cualquiera, sin cuenta en el sitio, suba un archivo PHP y lo ejecute en el servidor. Patchstack le asigna la severidad máxima, 10 sobre 10, y registró el primer intento de ataque el 7 de octubre a las 21:47 UTC, horas después de publicar la ficha de la falla.

Qué es la falla

Bricksforge agrega a los sitios hechos con Bricks Builder formularios avanzados (Pro Forms), animaciones y conexiones con otras aplicaciones. Según el desarrollador, todo sitio con Pro Forms activo está expuesto. La falla está en la forma en que esos formularios manejan los archivos adjuntos: un atacante sube una imagen trucada, que es a la vez un GIF válido y código PHP, y después envía el formulario indicando que ese archivo se guarde con extensión .php. Desde ese momento puede ejecutar código en el servidor.

En términos técnicos, es una subida de archivos sin restricción, registrada como CVE-2026-85097. El complemento valida el tipo de archivo en la primera subida, pero en el envío del formulario confía en el campo url del parámetro temporaryFileUploads que manda el navegador. No hace falta autenticación: el atacante obtiene el código de verificación (nonce) que necesita con una acción pública del propio complemento, bricksforge_regenerate_nonce.

A quién afecta

Afecta a Bricksforge 3.1.8.9 y anteriores. La corrección llegó en la 3.1.8.10; las versiones actuales son la 4.0.1, del 8 de octubre, y la 4.0.2, del 13 de octubre, que además refuerza otros puntos de acceso del complemento. Los sitios que usan Bricks Builder sin Bricksforge no están afectados por esta falla.

Estado de explotación

Explotada, según Patchstack, que observó los ataques con su propia red de monitoreo. La empresa contó 63 direcciones IP distintas: un grupo de 44 envió 56 pedidos idénticos en segundos y otro de 3 probó 25 variantes de extensión para colar el archivo PHP. Entre las direcciones más activas hay una de un proveedor de Brasil y otras de servicios de nube en Estados Unidos y Asia. Patchstack no atribuye los ataques a ningún grupo. La falla no figura en el catálogo de vulnerabilidades explotadas de CISA.

Antecedentes

En febrero de 2024, el propio Bricks Builder tuvo una falla de ejecución remota de código sin autenticación, CVE-2024-25600, también de severidad máxima, que se explotó a los pocos días de conocerse.

Qué hacer

• Actualizar Bricksforge a la 3.1.8.10 o superior; lo recomendable es la 4.0.2.
• Si no se puede actualizar ya, desactivar el complemento hasta hacerlo.
• Buscar archivos PHP que no deberían estar en wp-content/uploads/bricksforge/tmp/ y en wp-content/uploads/2026/10/, en especial pares img_*.gif con img_*.php y archivos login_admin_*.php. Actualizar no borra lo que ya se haya plantado.
• Revisar los registros del servidor en busca de pedidos a /wp-json/bricksforge/v1/form_submit y de la acción bricksforge_regenerate_nonce.
• Cambiar las claves de APISigla en inglés de interfaz de programación de aplicaciones: conjunto de reglas que permite que un programa le pida datos o funciones a otro de manera estandarizada. guardadas en el complemento, como recomienda el desarrollador.
• Si aparece un archivo plantado, tratar el sitio como comprometido: revisar usuarios administradores, cambiar contraseñas y restaurar desde una copia limpia.

Ficha técnica

• CVE: CVE-2026-85097
• CVSS: 10,0 según Patchstack; otras bases le asignan 9,8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
• CWE: CWE-434, subida sin restricción de archivos peligrosos
• Producto: Bricksforge para WordPress, formularios Pro Forms
• Versiones corregidas: 3.1.8.10 y posteriores (actual: 4.0.2)
• Aviso: ficha y análisis de Patchstack, 7 y 8 de octubre de 2026
• Catálogo KEV de CISA: no figura (consultado el 13 de octubre)