Falla máxima en Bricksforge para WordPress ya se explota
Patchstack registró ataques automatizados desde el 7 de octubre contra el complemento; la falla permite subir archivos sin tener cuenta y ya hay corrección.
La firma de seguridad Patchstack informó que CVE-2026-85097, una falla en el complemento Bricksforge de WordPress, ya se explota. En su aviso del 8 de octubre, la empresa dice que su telemetría registró los primeros intentos el 7 de octubre a las 21:47 UTC, antes de que el aviso fuera público.
Bricksforge es un complemento comercial que amplía el constructor de sitios Bricks Builder. La falla permite subir archivos sin autenticarse, y eso puede derivar en ejecución remota de código en el servidor. Patchstack le da 10.0 en la escala CVSS; SecurityWeek publica 9.8. Falta la puntuación del registro oficial de CVE.
| Dato | Detalle |
|---|---|
| Producto | Complemento Bricksforge para WordPress |
| Versiones afectadas | 3.1.8.9 y anteriores, según Patchstack |
| Corrección | 3.1.8.10, según Patchstack |
| Ataques observados | 63 direcciones IP distintas |
| Sitios con el complemento | Unos 6 000, según SecurityWeek |
La versión corregida tiene una discrepancia. El registro de cambios de Bricksforge no lista una 3.1.8.10: registra, para la versión 4.0.1 del 8 de octubre, un arreglo de seguridad en el módulo Pro Forms que afecta la carga de archivos. No cita el CVE. No está confirmado que ambas citas hablen del mismo parche, y el fabricante no ha publicado un aviso que lo aclare.
Patchstack describe los ataques como automatizados y sobre infraestructura rotativa, y aclara que esos patrones no permiten atribuirlos a un solo actor. Seis de las 63 direcciones generaron cerca de 46 % de las solicitudes. Todos los datos de explotación vienen de la propia Patchstack, que vende protección contra este tipo de fallas, y SecurityWeek los repite sin una verificación aparte.
Para quien administra un sitio con Bricksforge, incluidas agencias y tiendas en México que usan Bricks, Patchstack recomienda actualizar y revisar los registros y los directorios de carga en busca de archivos PHP inesperados, porque una actualización no elimina lo que un atacante ya haya colocado. Sigue sin respuesta si hubo sitios comprometidos: las fuentes hablan de intentos.
