🔥 Bricksforge 10.0: RCE без логина эксплуатируют вживую CVE-2026-85097 в WordPress-плагине Bricksforge получил CVSS 10.0. Любая версия до 3.1.8.9 включительно позволяет загрузить PHP-файл без аутентификации и выполнить его на сервере. Патч вышел в 3.1.8.10, актуальная ветка — 4.0.1. Первую эксплуатацию Patchstack зафиксировал 07.10.2026 в 21:47 UTC, о чём сообщает The Hacker News. Механика в четыре шага. Атакующий берёт nonce через открытый AJAX-эндпоинт bricksforge_regenerate_nonce. Загружает GIF/PHP-полиглот: картинка с PHP внутри, MIME-проверку проходит. При submit формы плагин доверяет метаданным от клиента: в параметре temporaryFileUploads поле file указывает на валидный GIF, а url заканчивается на .php. Сервер кладёт содержимое по PHP-пути и запускает его. Фильтры расширений обходят сменой регистра и кодированием: .php5, .phtml, .pHp, .%70hp. Телеметрия Patchstack: 44 IP отправили 56 запросов с идентичными пейлоадами за секунды друг от друга. Три IP перебрали 25 вариантов расширений по одному и тому же временному файлу. Всего 63 уникальных источника, шесть дают около 46% трафика. → CVE-2026-85097, unauth RCE, CVSS 10.0 → Затронуто: Bricksforge ≤ 3.1.8.9, патч 3.1.8.10 → Эндпоинт: /wp-json/bricksforge/v1/form_submit Рядом та же картина в WPC Product Bundles for WooCommerce (CVE-2026-93836, 7.1) и Ninja Forms (CVE-2026-94504, 7.1): XSS кладёт x.js, тот ставит плагин-бэкдор, скрытого администратора и magic login URL. Патчи вышли в 8.6.7 и 3.15.4. Обновление закрывает вход, но уже установленное не удаляет. За Q2 2026 в экосистеме опубликовали 2 073 уязвимости, 182 из них high-threat, скомпрометировано около 573 000 сайтов. 44 IP с одинаковым пейлоадом — это бот, а не бригада. Значит, эксплуатировать уязвимость будут все, у кого есть сканер, и решать будет не скорость патча, а то, успели ли выполнить PHP до него. Я бы начинал не с версии плагина, а с поиска строки temporaryFileUploads в access-логах и проверки каталога /wp-content/uploads/bricksforge/tmp/ на файлы с исполняемым расширением. #WordPress #Bricksforge #RCE #WooCommerce