Bricksforge wird als „Schweizer Taschenmesser" für Bricks beworben, ein visuelles Werkzeug zum Seitenbau unter WordPress, und bietet unter anderem Animationen, erweiterte Formulare und scrollgesteuerte Videosequenzen.

Patchstack registrierte Ausnutzungsversuche erstmals am 7. Oktober 2026 um 21:47 Uhr UTC. „Bricksforge prüft den MIME-Typ einer Datei beim ersten Hochladen. Wird später jedoch ein Formular abgeschickt, vertraut das Plugin den Dateimetadaten, die der Client sendet", erklärte Patchstack. „Insbesondere validiert es das Feld ‘url’ innerhalb des Parameters ’temporaryFileUploads’ nicht."

Die Schwachstelle beruht damit auf einer unzureichenden Prüfung eines URL-Felds im Parameter ’temporaryFileUploads’ beim Absenden eines Formulars. Der Angriff läuft in vier Schritten ab:

  • Abruf einer gültigen Nonce über den unauthentifizierten AJAX-Endpunkt ‘bricksforge_regenerate_nonce’.
  • Hochladen eines GIF/PHP-Polyglots – einer Datei, die ein gültiges Bild ist und zugleich PHP-Code enthält. Sie besteht die MIME-Prüfung und landet im temporären Upload-Verzeichnis.
  • Absenden eines Formulars, bei dem der Dateipfad auf das geprüfte Bild zeigt, das Feld ‘url’ aber auf eine PHP-Endung endet.
  • Bricksforge vertraut den übermittelten Metadaten und legt den Dateiinhalt am PHP-Ort ab; beim Abruf dieser Datei wird der eingebettete Code ausgeführt.

Wordfence beschreibt den Ablauf in einem eigenen Sicherheitshinweis identisch: Ein nicht authentifizierter Angreifer könne sich zunächst über den AJAX-Endpunkt eine gültige Nonce verschaffen und anschließend eine GIF/PHP-Polyglot-Datei in das temporäre Upload-Verzeichnis laden, „wo die MIME-Typ-Prüfung korrekt durchgeführt wird". Danach lasse sich ein Formular mit manipuliertem ’temporaryFileUploads’-Parameter absenden, bei dem der serverseitige Dateipfad auf die geprüfte GIF-Datei zeige, das vom Angreifer kontrollierte url-Feld jedoch auf „.php" ende.

Eine erfolgreiche Ausnutzung führt zur Ausführung beliebigen PHP-Codes auf dem Server. Angreifer können damit die Kontrolle über die WordPress-Installation übernehmen, Web-Shells ablegen, sensible Daten auslesen und dauerhaften Zugang einrichten.

In den von Patchstack beobachteten Angriffen zielen die Akteure auf den REST-API-Endpunkt für Formularübermittlungen („/wp-json/bricksforge/v1/form_submit") oder auf „/wp-admin/admin-ajax.php" mit der Aktion „bricksforge_form_submit", jeweils mit präpariertem ’temporaryFileUploads’-Parameter. Laut Wordfence nutzen die Angreifer dabei die Diskrepanz, dass das angegebene “file”-Argument eine GIF- oder PNG-Datei benennt, während die tatsächliche URL auf eine PHP-Nutzlast verweist.

Um Endungsfilter zu umgehen, kommen alternative PHP-Endungen (etwa .php5, .php7 oder .phtml), Groß- und Kleinschreibvarianten (.PHP, .Php, .pHp) sowie kodierte Endungen (.%70hp, %2ephp oder .%2570%2568%2570) zum Einsatz.

„Zwei Cluster stechen in unserer Telemetrie hervor. Im ersten sendeten 44 IP-Adressen innerhalb von Sekunden 56 Anfragen mit identischen Nutzlasten", so Patchstack. „Im zweiten testeten drei IP-Adressen 25 Varianten von PHP-Endungen und Kodierungen gegen dieselbe temporäre Datei." Beide Muster deuteten auf automatisierte Ausnutzung über rotierende Proxys oder verteilte Infrastruktur hin, erlaubten für sich genommen aber keine Zuordnung zu einem einzelnen Bedrohungsakteur.

Insgesamt wurden die Aktivitäten von 63 verschiedenen Quell-IP-Adressen aufgezeichnet; sechs davon entfallen rund 46 Prozent aller Anfragen:

  • 177.75.57[.]20
  • 23.97.62[.]146
  • 84.247.60[.]125
  • 38.154.185[.]97
  • 150.109.16[.]166
  • 153.75.90[.]146

Nutzern wird empfohlen, auf die aktuelle Plugin-Version 4.0.1 zu aktualisieren. Seitenbetreiber sollten eingehende Anfragen an „/wp-json/bricksforge/v1/form_submit" mit dem Parameter „temporaryFileUploads" prüfen, ebenso wiederholte Formularübermittlungen und unerwartete PHP-Dateien in „/wp-content/uploads/bricksforge/tmp/".

Parallel missbrauchen Angreifer Cross-Site-Scripting-Schwachstellen in zwei weiteren, nicht verwandten WordPress-Plugins: WPC Product Bundles for WooCommerce (CVE-2026-93836, CVSS 7.1) und Ninja Forms (CVE-2026-94504, CVSS 7.1). Darüber wird eine JavaScript-Nutzlast („x.js") ausgeliefert, die ein Backdoor-Plugin installieren und betrügerische Administratorkonten anlegen kann.

Das eingeschleuste Plugin enthält einen unauthentifizierten Dateimanager, der über einen direkten Aufruf der Haupt-PHP-Datei erreichbar ist. Zudem legt es einen WordPress-Administrator an, der in der Benutzerübersicht verborgen bleibt, und richtet eine „Magic-Login"-URL ein, die den Inhaber als ältesten Administrator der Seite authentifiziert.

„Es handelt sich um ein Post-Exploitation- und Persistenz-Implantat für WordPress, das im Browser eines angemeldeten Administrators ausgeführt werden soll", erklärte Patchstack. „Einmal ausgelöst, missbraucht es die authentifizierte wp-admin-Sitzung des Opfers, um ein bösartiges WordPress-Plugin zu installieren, ein neues Administratorkonto anzulegen, einen weiteren versteckten Persistenzmechanismus aufzurufen und die Ergebnisse an angreiferkontrollierte Infrastruktur zu melden."

Wichtig: Das Update der verwundbaren Plugins – Version 8.6.7 für WPC Product Bundles for WooCommerce und 3.15.4 für Ninja Forms – verhindert zwar weitere Ausnutzung, beseitigt aber keine bestehende Infektion. Seitenbetreiber sollten die Datenbank direkt nach verborgenen Administratoren durchsuchen, das Verzeichnis der Must-use-Plugins prüfen und Webserver-Protokolle auswerten.

Nach Daten von Wordfence wurden im zweiten Quartal 2026 insgesamt 2.073 WordPress-bezogene Schwachstellen veröffentlicht. Die Zahl der als hochgefährlich eingestuften Lücken stieg gegenüber dem Vorquartal um 15,2 Prozent auf 182. Rund 573.000 WordPress-Seiten wurden in diesem Zeitraum kompromittiert. Am häufigsten angegriffen wurden:

  • CVE-2024-28000 (CVSS 9.8) – LiteSpeed Cache <= 6.3.0.1, unauthentifizierte Rechteausweitung
  • CVE-2019-9879 (CVSS 9.8) – WPGraphQL <= 0.2.3, Anlegen administrativer Benutzer
  • CVE-2016-15042 (CVSS 9.8) – Frontend File Manager < 4.0 und N-Media Post Front-end Form < 1.1, beliebiger Datei-Upload
  • CVE-2023-28121 (CVSS 9.8) – WooCommerce Payments 4.8.0 bis 5.6.1, Authentifizierungsumgehung und Rechteausweitung
  • CVE-2025-3102 (CVSS 8.1) – SureTriggers <= 1.0.78, unauthentifiziertes Anlegen administrativer Benutzer

Die überwiegende Mehrheit der angreifenden IP-Adressen stammte aus den USA, gefolgt von Deutschland, Tschechien, Australien, Norwegen, Frankreich, der Ukraine, den Niederlanden, der Schweiz und Brasilien.