Bricksforge açığı olarak anılan CVE-2026-85097, WordPress sitelerinde kimlik doğrulaması olmadan kod çalıştırılmasına yol açabiliyor. WordPress güvenlik şirketi Patchstack, açığa yönelik sömürü girişimlerini gözlemlediğini duyurdu.

Bricksforge Açığı Nedir?

Bricksforge, görsel site oluşturucu Bricks için animasyon, gelişmiş form ve kaydırmalı video gibi özellikler sunan bir WordPress eklentisi. Patchstack, CVE-2026-85097 kodlu zafiyete CVSS 10.0 puanı verdi. Farklı kaynaklar farklı CVSS değerleri yayımlayabildiği için bu skor, Patchstack’in değerlendirmesi olarak okunmalı.

Etkilenen sürümler 3.1.8.9 ve öncesi. Düzeltme 3.1.8.10 sürümüyle yayımlandı. Patchstack, ilk sömürü girişimini 7 Ekim 2026’da tespit etti.

Saldırı Nasıl Çalışıyor?

Doğrulamadaki eksiklik

Eklenti, dosya ilk yüklendiğinde türünü kontrol ediyor. Ancak form daha sonra gönderilirken istemciden gelen dosya bilgisine güveniyor. Patchstack’e göre özellikle temporaryFileUploads parametresindeki url alanı yeterince doğrulanmıyor.

Sonuç: Uzaktan kod çalıştırma

Saldırgan, hem görsel hem de PHP kodu içeren bir dosya yükleyip bunu PHP uzantılı bir dosya adıyla kaydedilmesini sağlayabiliyor. Dosya çalıştırıldığında kod sunucuda yürütülüyor. Başarılı bir saldırı; sitenin ele geçirilmesine, web kabuğu (web shell) yerleştirilmesine, hassas verilerin okunmasına ve kalıcı erişime yol açabilir.

Sömürü Girişimleri Ne Gösteriyor?

Patchstack, saldırı etkinliğini 63 farklı IP adresinden kaydetti. Bunların altısı, isteklerin yaklaşık %46’sını oluşturuyor. Bir kümede 44 IP adresi, saniyeler içinde aynı zararlı yükle 56 istek gönderdi. Başka bir kümede üç IP adresi, aynı geçici dosya üzerinde 25 farklı PHP uzantısı ve kodlama varyasyonunu denedi.

Şirket, bu örüntülerin otomatik sömürü girişimlerine işaret ettiğini ancak etkinliğin tek başına belirli bir tehdit aktörüne bağlanamayacağını belirtiyor.

Not: Paylaşılan veriler sömürü girişimlerini gösteriyor. Kaç sitenin başarıyla ele geçirildiğine dair bir bilgi yer almıyor. Teknik ayrıntılar ve IP listesi için Patchstack’in araştırmasına bakılabilir.

Site Sahipleri Ne Yapmalı?

• Eklentiyi hemen güncelleyin. Haberde en güncel sürüm olarak 4.0.1 belirtiliyor. Kurulumunuz için mevcut en güncel güvenlik sürümünü kontrol edin.
• Bricksforge form uç noktasına gelen, temporaryFileUploads içeren istekleri ve tekrarlayan form gönderimlerini sunucu kayıtlarında inceleyin.
• Bricksforge’un geçici yükleme klasöründe (/wp-content/uploads/bricksforge/tmp/) beklenmedik PHP dosyaları olup olmadığını kontrol edin.

Aynı Dönemde Başka WordPress Tehditleri

Patchstack’in ayrı bir analizine göre saldırganlar, WPC Product Bundles for WooCommerce (CVE-2026-93836) ve Ninja Forms (CVE-2026-94504) eklentilerindeki iki XSS açığını da kullanıyor. İkisi de CVSS 7.1 puanlı. Dağıtılan JavaScript yükü, arka kapı eklentisi kurabiliyor ve gizli yönetici hesabı oluşturabiliyor.

Önemli: Eklentileri güncellemek (WPC Product Bundles için 8.6.7, Ninja Forms için 3.15.4) yeni sömürü girişimlerini engellemeye yardımcı olur ancak mevcut bir enfeksiyonu temizlemez. Gizli yönetici hesapları için veritabanını, must-use eklenti dizinini ve sunucu kayıtlarını kontrol etmek gerekiyor.

Wordfence’in 2026 ikinci çeyrek raporuna dayanan habere göre bu dönemde 2.073 WordPress açığı yayımlandı. Yüksek tehditli açıkların sayısı önceki çeyreğe göre %15,2 artarak 182’ye çıktı. Haberde ayrıca aynı dönemde yaklaşık 573.000 WordPress sitesinin ele geçirildiği belirtiliyor; ancak bu rakamın hangi ölçüte dayandığı açıklanmıyor.i açıkların sayısı önceki çeyreğe göre %15,2 artarak 182’ye çıktı. Haberde ayrıca aynı dönemde yaklaşık 573.000 WordPress sitesinin ele geçirildiği belirtiliyor; rakamın tanımı haberde ayrıca açıklanmıyor.

Kaynaklar: The Hacker News , Patchstack, Wordfence