Los atacantes ya están explotando una vulnerabilidad crítica en Bricksforge, un complemento para el constructor visual Bricks de WordPress, que permite a cualquiera subir y ejecutar código PHP en el servidor sin necesidad de iniciar sesión. El fallo, identificado como CVE-2026-85097, tiene la puntuación máxima de gravedad, 10,0 en la escala CVSS, y afecta a todas las versiones hasta la 3.1.8.9. Patchstack detectó los primeros intentos de explotación el 07/10/2026 y la solución pasa por actualizar a la versión 3.1.8.10 o posterior.
Las claves de la vulnerabilidad de Bricksforge en 20 segundos
Bricksforge es un plugin de pago que se presenta como una navaja suiza para Bricks Builder: añade animaciones, formularios avanzados y secuencias de vídeo con scroll, entre otras funciones. Precisamente el módulo de formularios es el origen del problema. Ni Patchstack ni las publicaciones posteriores detallan cuántas webs lo tienen instalado, pero la gravedad del fallo y la explotación en curso hacen que cualquier sitio con una versión vulnerable deba considerarse en riesgo.
Según el análisis de Patchstack y The Hacker News, Bricksforge comprueba el tipo de archivo (MIME) en la primera subida, pero no valida el campo de URL del parámetro temporaryFileUploads cuando se envía el formulario. El atacante obtiene primero un nonce válido desde un punto de acceso AJAX que no exige autenticación, sube un archivo políglota que es a la vez GIF y PHP, y que por eso supera el filtro, y después envía el formulario indicando una URL de destino con extensión PHP. El plugin escribe el contenido en esa ruta y el código se ejecuta en cuanto alguien la solicita.
Patchstack observó el primer intento a las 21:47 (UTC) del 7 de octubre. Desde entonces ha registrado peticiones desde 63 IP distintas, seis de las cuales concentran alrededor del 46 % del tráfico. Uno de los grupos usó 44 IP para lanzar 56 peticiones idénticas en cuestión de segundos, y otro probó 25 variantes de extensiones y codificaciones, como .phtml, cambios de mayúsculas o extensiones codificadas, para esquivar los filtros. La empresa apunta a una explotación automatizada, posiblemente a través de proxies rotatorios, pero no la atribuye a ningún grupo concreto.
La primera medida es actualizar Bricksforge a la versión 3.1.8.10 o posterior. The Hacker News recomienda directamente la última disponible, la 4.0.1. Actualizar cierra la puerta, pero no limpia una web que ya haya sido comprometida, así que conviene revisar estos indicadores que publica Patchstack:
Si la web funcionó con una versión vulnerable sin protección adicional, lo prudente es revisar los registros históricos, buscar usuarios administradores que no reconozcas y comprobar cambios no autorizados. En WP Directo ya explicamos cómo proteger WordPress de las vulnerabilidades en plugins, y si el sitio ya está infectado, la guía de AyudaWP con 77 pasos para limpiar un WordPress infectado es un buen punto de partida.
The Hacker News recoge además otra campaña que aprovecha fallos de tipo XSS en WPC Product Bundles for WooCommerce (CVE-2026-93836, corregido en la 8.6.7) y Ninja Forms (CVE-2026-94504, corregido en la 3.15.4) para instalar una puerta trasera y crear cuentas de administrador ocultas. También en este caso actualizar frena nuevos ataques, pero no elimina una infección previa: hay que revisar la base de datos en busca de administradores ocultos, la carpeta de plugins obligatorios (mu-plugins) y los registros del servidor.
El contexto no invita a relajarse. Según los datos de Wordfence que cita el medio, en el segundo trimestre de 2026 se publicaron 2.073 vulnerabilidades relacionadas con WordPress, las de alta gravedad crecieron un 15,2 % respecto al trimestre anterior, hasta 182, y unos 573.000 sitios resultaron comprometidos. Hace pocas semanas fue Elementor y el propio núcleo de WordPress tuvo que corregir siete vulnerabilidades en la versión 7.1.3.
Todas hasta la 3.1.8.9 incluida. El fallo está corregido en la 3.1.8.10 y versiones posteriores.
No. CVE-2026-85097 se puede explotar sin autenticación, por eso tiene una puntuación CVSS de 10,0.
Revisa si hay archivos PHP inesperados en /wp-content/uploads/bricksforge/tmp/ u otras carpetas de subidas, peticiones a /wp-json/bricksforge/v1/form_submit con temporaryFileUploads y administradores que no reconozcas.
Actualizar evita nuevos ataques, pero no elimina una infección previa. Si la web estuvo expuesta, hay que revisar archivos, usuarios y registros.
Fuentes:
