Falha 9.8 em plugin WordPress entrega o site inteiro ao atacante

Introdução

Uma falha crítica de upload arbitrário de arquivo (vulnerabilidade que permite ao atacante enviar qualquer arquivo para o servidor sem validação adequada) foi descoberta e corrigida no plugin Bricksforge (plugin comercial, add-on para o site builder Bricks). Registrada como CVE-2026-85097, a brecha recebeu nota CVSS 9.8 (sistema de pontuação que mede a gravidade de vulnerabilidades, de 0 a 10), a mais alta da escala, e permite que um atacante sem autenticação consiga executar código no servidor e assumir o controle completo do site.

O alerta veio da Patchstack (empresa de segurança especializada em WordPress), que também flagrou o pior cenário possível: a falha já está sendo explorada em massa desde 7 de outubro, por meio de infraestrutura distribuída e proxies rotativos. Estima-se que cerca de 6 mil sites estejam expostos.

Contexto: por que essa falha importa

O Bricksforge funciona como um add-on do Bricks (construtor visual de sites para WordPress), um dos builders mais populares do ecossistema. Como se trata de um plugin comercial — pago, e não distribuído pelo repositório público de plugins —, o processo de atualização depende do usuário baixar e aplicar a nova versão manualmente ou via painel. Isso tende a atrasar a correção em milhares de instalações, ampliando a janela de exploração.

A gravidade está na combinação de dois fatores: a falha não exige autenticação (qualquer pessoa na internet pode disparar o ataque) e o resultado é execução remota de código (RCE, na sigla em inglês — capacidade de rodar comandos arbitrários no servidor). Na prática, o atacante que explorar a brecha consegue instalar backdoors, roubar dados, desfigurar o site ou usá-lo como ponte para atacar a rede interna. Não é a primeira vez que um plugin de WordPress vira alvo logo após a divulgação do patch — cobrimos um caso semelhante de execução de código remota via tema administrativo na notícia sobre o Click2Shell.

Como a falha funciona tecnicamente

O vetor de ataque segue um fluxo direto de quatro etapas. A raiz do problema está na ausência de validação de extensão e de codificação no ponto de upload do plugin: o Bricksforge aceitava arquivos sem confirmar se o conteúdo era realmente o esperado, permitindo que um payload malicioso fosse gravado em uma localização acessível pela web.

A cadeia de ataque começa com uma requisição não autenticada, avança para o upload de um arquivo arbitrário (tipicamente um script em PHP disfarçado), segue para a execução desse código no servidor e termina no controle total do site. Abaixo o fluxo resumido, detalhado em seguida.

A falha está na etapa de upload: o código vulnerável não validava corretamente a extensão do arquivo nem a forma como ele estava codificado. Um atacante consegue, por exemplo, enviar um arquivo com extensão .php (ou variações que o servidor interpreta como PHP) e convencer a aplicação a gravá-lo em um diretório público. Uma vez gravado, basta acessar a URL desse arquivo pelo navegador para que o servidor o execute — é aí que o código malicioso roda com as permissões do processo web.

Os detalhes técnicos da CVE estão resumidos abaixo.

Exploração em massa: o padrão observado pela Patchstack

O que transforma essa falha de grave para urgente é o comportamento registrado pela telemetria da Patchstack. Os dados mostram exploração automatizada e em larga escala desde 7 de outubro, com dois clusters de ataque bem distintos:

O primeiro cluster é o retrato clássico de uma spray-and-pray (tática de varredura que dispara o mesmo ataque contra muitos alvos de uma vez): dezenas de IPs enviando o mesmo payload em rajada, mirando o maior número possível de sites no menor tempo.

O segundo cluster revela um comportamento mais sofisticado. Três endereços IP testaram 25 variações — alternando extensões de arquivo e esquemas de encoding (codificação do conteúdo, usada para contornar filtros) — contra o mesmo arquivo temporário. Isso indica um atacante mapeando ativamente quais combinações o servidor aceita, o que é típico de quem busca um bypass (técnica para contornar uma proteção) para a validação que deveria bloquear o upload.

A leitura da Patchstack é de que o tráfego vem de proxies rotativos e infraestrutura distribuída — um padrão que dificulta a atribuição e o bloqueio por IP. Não é um único atacante artesanal: é exploração industrializada, rodando 24 horas por dia contra sites vulneráveis.

Como se proteger

A correção oficial já existe e é simples de aplicar, mas a janela de risco é real para quem ainda não atualizou. As recomendações abaixo valem para donos de site e administradores de WordPress.

Atualize o Bricksforge para a 3.1.8.10. A versão corrigida elimina o upload arbitrário. Em um plugin comercial, a atualização costuma ser feita pelo próprio painel do Bricksforge ou baixando o pacote no site oficial e enviando-o via WordPress. Não adie: a exploração já está ativa em campo.

Confirme a versão instalada. Antes de considerar o site seguro, verifique qual versão do Bricksforge está em execução. Quem gerencia o site via linha de comando pode checar com o WP-CLI (ferramenta de administração do WordPress por terminal):

wp plugin list --name=bricksforge --fields=name,version,status

Procure sinais de comprometimento. Como a exploração já acontece há dias, quem esteve em uma versão vulnerável deve assumir a possibilidade de invasão. Procure por arquivos PHP desconhecidos em diretórios de upload, contas de administrador recém-criadas, plugins ou temas estranhos e qualquer modificação recente fora do normal. Um backdoor pode ter sido plantado antes mesmo da atualização.

Aplique uma rotina de atualização contínua. A lição aqui vale para todo o ecossistema: plugins comerciais e temas ficam fora do fluxo de atualização automática do repositório público. Mantenha um inventário dos plugins pagos, monitore os canais oficiais de aviso e priorize correções de severidade crítica assim que forem publicadas. Um Web Application Firewall (WAF, camada que filtra requisições maliciosas antes de chegarem à aplicação) ajuda a mitigar tentativas de exploração enquanto a atualização não é aplicada.

Conclusão

A CVE-2026-85097 reúne todos os ingredientes de um incidente sério: nota máxima de severidade, exploração sem necessidade de credenciais e — o fator decisivo — ataque já em andamento com infraestrutura distribuída. Para os cerca de 6 mil sites afetados, a diferença entre estar seguro e estar comprometido agora se resume a uma única ação: aplicar a versão 3.1.8.10 imediatamente e, em paralelo, investigar sinais de que o servidor já foi invadido. A correção existe; o que está em jogo é a velocidade da resposta.

Perguntas frequentes

Fontes e leituras adicionais

• SecurityWeek — Bricksforge WordPress Plugin Vulnerability Exploited in the Wild — 13/10/2026
• Patchstack — Critical Unauthenticated Arbitrary File Upload Vulnerability Exploited in Bricksforge Plugin — 10/2026