Luka w Bricksforge: niezalogowany atakujący mógł przejąć serwer

8 października 2026 firma Patchstack opublikowała poradnik bezpieczeństwa dotyczący wtyczki Bricksforge, popularnego rozszerzenia do page buildera Bricks Builder. Luka oznaczona jako CVE-2026-85097 dostała najwyższą możliwą ocenę: CVSS 10.0. Co ważniejsze, Patchstack odnotował pierwsze próby jej wykorzystania już dzień wcześniej, 7 października o 21:47 UTC, a w ciągu kolejnych 48 godzin zarejestrował ataki z 63 różnych adresów IP. To nie jest teoretyczne ryzyko opisane na papierze, to luka, którą ktoś już aktywnie skanuje i wykorzystuje w sieci.

Problem dotyczy mechanizmu tymczasowego przesyłania plików (parametr temporaryFileUploads) przy wysyłce formularzy. Bricksforge sprawdza typ MIME pliku tylko przy pierwszym uploadzie, ale przy samej wysyłce formularza ufa danym podanym przez przeglądarkę, czyli docelowemu adresowi URL i nazwie pliku. Atakujący może więc przygotować plik, który z zewnątrz wygląda jak obrazek (tzw. polyglot GIF/PHP), a w rzeczywistości zawiera kod PHP, i zmusić wtyczkę do zapisania go pod nazwą z rozszerzeniem .php. Jeśli serwer wykona taki plik, mamy do czynienia z pełnym zdalnym wykonaniem kodu (RCE), bez logowania, bez konta administratora, bez żadnej interakcji ze strony właściciela strony. To jeden z gorszych scenariuszy, jakie można sobie wyobrazić dla strony WordPress.

Dla kogoś, kto prowadzi stronę zbudowaną na Bricks Builderze z dodatkiem Bricksforge, liczy się jedno pytanie: jaka wersja wtyczki jest zainstalowana. Podatne są wersje do 3.1.8.9 włącznie, łatka trafiła do wersji 3.1.8.10. Jeśli aktualizacja automatyczna jest wyłączona (a przy page builderach często jest, bo ktoś boi się, że update złamie układ strony), to właśnie teraz jest moment, żeby to ręcznie sprawdzić i zainstalować najnowszą wersję. Warto też zerknąć do logów serwera za ostatni tydzień w poszukiwaniu nietypowych żądań POST z nieznanych adresów IP, zwłaszcza jeśli strona była dostępna publicznie przed 8 października.

To kolejny przykład, dlaczego warto mieć zapasowy plan na wypadek, gdyby łatka przyszła za późno. Aktualna i odtwarzalna kopia zapasowa nie zapobiegnie samemu włamaniu, ale pozwala wrócić do czystego stanu strony, zamiast ręcznie szukać webshella w plikach. Zapora na poziomie aplikacji (WAF) też nie jest cudownym rozwiązaniem, ale w wielu przypadkach blokuje właśnie tego typu nietypowe żądania do endpointów uploadu, zanim zdążą trafić do samej wtyczki. To, czy hosting ma taką ochronę wbudowaną, czy trzeba ją dokładać samemu, sprawdzamy m.in. przy testach technicznych publikowanych w rankingu hostingu dla stron biznesowych. Sama łatka w Bricksforge to jednak podstawa, żadna warstwa zabezpieczeń nie zastąpi aktualnej wtyczki.