Kritische Bricksforge-Sicherheitslücke CVE-2026-85097 wird aktiv ausgenutzt

Die Bricksforge Sicherheitslücke CVE-2026-85097 wird bereits aktiv von Angreifern ausgenutzt. Die kritische Schwachstelle ermöglicht es nicht authentifizierten Angreifern, schädliche PHP-Dateien auf verwundbare WordPress-Websites hochzuladen und anschließend Code auf dem Server auszuführen.

Sicherheitsforscher von Patchstack haben tatsächliche Exploitationsversuche gegen betroffene Bricksforge-Installationen bestätigt. Die ersten Angriffe wurden am 7. Oktober 2026 um 21:47 Uhr UTC beobachtet.

Mit einem CVSS-Score von 10,0 (Critical) zählt CVE-2026-85097 zu den besonders schwerwiegenden WordPress-Sicherheitslücken. Website-Betreiber sollten Bricksforge unverzüglich aktualisieren und zuvor verwundbare Installationen auf mögliche Kompromittierungen untersuchen.

Was ist die Bricksforge Sicherheitslücke CVE-2026-85097?

Bricksforge ist eine kommerzielle WordPress-Erweiterung für Bricks Builder, einen visuellen Website-Builder für WordPress.

Das Plugin ergänzt Bricks Builder unter anderem um erweiterte Formulare, Animationen, dynamische Inhalte, individuelle Interaktionen und zusätzliche Verwaltungsfunktionen.

CVE-2026-85097 betrifft die Verarbeitung temporärer Datei-Uploads innerhalb der Pro-Forms-Funktionalität.

Die Schwachstelle wird als Unauthenticated Arbitrary File Upload klassifiziert und kann zu Remote Code Execution (RCE) führen.

Ein erfolgreicher Angriff kann es ermöglichen, ausführbaren PHP-Code auf dem betroffenen Server zu platzieren, ohne dass ein gültiges WordPress-Benutzerkonto erforderlich ist.

Wie funktioniert CVE-2026-85097?

Das Sicherheitsproblem entsteht durch eine unzureichende Validierung von Dateimetadaten während der Formularverarbeitung.

Bricksforge überprüft zunächst den MIME-Typ einer hochgeladenen Datei. Bei der späteren Verarbeitung des Formulars vertraut die verwundbare Implementierung jedoch bestimmten Dateiinformationen, die vom Client übermittelt werden.

Insbesondere wird das Feld url innerhalb des Parameters temporaryFileUploads nicht ausreichend überprüft.

Ein Angreifer kann dieses Verhalten ausnutzen, um eine zunächst als Bild akzeptierte Datei unter einem ausführbaren PHP-Dateinamen speichern zu lassen.

Wird diese Datei in einem öffentlich erreichbaren Verzeichnis abgelegt, in dem PHP-Ausführung erlaubt ist, kann der Angreifer den enthaltenen Code anschließend durch einen HTTP-Aufruf ausführen.

Die Ausführung erfolgt mit den Berechtigungen des PHP-Prozesses, der die betroffene Website verarbeitet.

Welche Bricksforge-Versionen sind betroffen?

Patchstack bestätigt die folgenden verwundbaren und korrigierten Versionen:

• Software: Bricksforge für WordPress
• CVE: CVE-2026-85097
• Schwachstelle: Unauthenticated Arbitrary File Upload / Remote Code Execution
• Betroffene 3.x-Versionen: bis einschließlich 3.1.8.9
• Erste korrigierte 3.x-Version: 3.1.8.10
• Sicherheitsupdate für die 4.x-Reihe: 4.0.1 oder neuer
• Schweregrad: Critical
• CVSS: 10,0 laut Patchstack
• Authentifizierung erforderlich: Nein
• Aktive Ausnutzung: Bestätigt

Der Hersteller veröffentlichte am 8. Oktober 2026 Bricksforge 4.0.1 mit einer Sicherheitskorrektur für Datei-Uploads innerhalb von Pro Forms.

Administratoren der 4.x-Reihe sollten mindestens Version 4.0.1 installieren. Für die 3.x-Reihe ist mindestens Version 3.1.8.10 erforderlich.

Vservs empfiehlt grundsätzlich die aktuellste stabile und unterstützte Bricksforge-Version, die mit der jeweiligen Website kompatibel ist.

Patchstack bestätigt aktive Angriffe auf Bricksforge

Bei CVE-2026-85097 handelt es sich nicht nur um eine theoretische Sicherheitslücke. Patchstack hat tatsächliche Exploitationsversuche gegen verwundbare WordPress-Installationen beobachtet.

Die ersten Angriffe wurden am 7. Oktober 2026 um 21:47:17 Uhr UTC registriert.

Die Sicherheitsforscher beobachteten automatisierte Angriffsversuche von insgesamt 63 unterschiedlichen Quell-IP-Adressen.

Ein Teil der Angriffe zeigte koordinierte Muster. Dabei wurden verschiedene Dateinamen, PHP-Erweiterungen und Codierungsvarianten getestet.

Die beobachteten Aktivitäten bestätigen aktive Exploitationsversuche in realen Umgebungen. Sie belegen jedoch nicht, dass jede angegriffene Website tatsächlich erfolgreich kompromittiert wurde.

Welche WordPress-Endpunkte werden angegriffen?

Nach Angaben von Patchstack richten sich die Angriffe hauptsächlich gegen den folgenden REST-API-Endpunkt:

/wp-json/bricksforge/v1/form_submit

Zusätzlich wurden Angriffe über die WordPress-AJAX-Funktionalität beobachtet.

Zu den relevanten Untersuchungshinweisen gehören:

• Requests an den Bricksforge-REST-API-Endpunkt;
• Formularübermittlungen mit dem Parameter temporaryFileUploads;
• verdächtige Kombinationen aus Bilddateipfaden und PHP-Dateinamen;
• Aufrufe der AJAX-Aktion bricksforge_regenerate_nonce;
• wiederholte Requests mit unterschiedlichen PHP-Dateiendungen;
• HTTP-Aufrufe neu angelegter PHP-Dateien innerhalb von Upload-Verzeichnissen.

Ein einzelner Request an einen legitimen Formular-Endpunkt ist noch kein Beweis für eine erfolgreiche Kompromittierung. Verdächtige Aktivitäten müssen anhand der verfügbaren Logs und Dateisystemdaten untersucht werden.

Welche Folgen kann Remote Code Execution haben?

Remote Code Execution gehört zu den gefährlichsten Kategorien von Webanwendungsschwachstellen.

Ein erfolgreicher Angriff kann dazu führen, dass ein Angreifer PHP-Code innerhalb des Sicherheitskontexts der betroffenen WordPress-Website ausführt.

Mögliche Folgen sind:

• Hochladen und Ausführen schädlicher PHP-Dateien;
• Installation von Webshells und Malware;
• Manipulation von WordPress-Dateien und Website-Inhalten;
• Zugriff auf vertrauliche Konfigurationsinformationen;
• Auslesen von Datenbank-Zugangsdaten;
• Anlegen nicht autorisierter WordPress-Administrator-Konten;
• Einrichten dauerhafter Zugriffsmöglichkeiten;
• Missbrauch der kompromittierten Website für weitere Angriffe.

Die Schwachstelle führt nicht automatisch zu Root-Rechten auf dem Betriebssystem.

Die tatsächlichen Auswirkungen hängen von den Berechtigungen des PHP-Prozesses, der Serverkonfiguration und vorhandenen zusätzlichen Sicherheitsmaßnahmen ab.

Sind auch Formulare ohne Datei-Upload betroffen?

Ja. Der Hersteller weist ausdrücklich darauf hin, dass Websites mit aktivierter Pro-Forms-Funktionalität das Sicherheitsupdate installieren müssen, selbst wenn ihre Formulare keine sichtbaren Datei-Upload-Felder enthalten.

Die Schwachstelle betrifft die interne Verarbeitung temporärer Upload-Metadaten und nicht ausschließlich die Darstellung eines Upload-Feldes.

Das Entfernen eines sichtbaren Datei-Upload-Feldes stellt deshalb keine zuverlässige Sicherheitsmaßnahme dar.

Entscheidend ist die Installation einer korrigierten Bricksforge-Version.

WordPress auf mögliche Kompromittierung überprüfen

Da aktive Exploitationsversuche bestätigt wurden, sollten Website-Betreiber nicht ausschließlich die Sicherheitsaktualisierung installieren.

Installationen, auf denen zuvor verwundbare Bricksforge-Versionen aktiv waren, sollten zusätzlich auf verdächtige Dateien und Aktivitäten untersucht werden.

Kontrollieren Sie insbesondere:

• unerwartete PHP-Dateien unter /wp-content/uploads/;
• verdächtige Dateien unter /wp-content/uploads/bricksforge/tmp/;
• unbekannte PHP-Dateien mit Namen wie login_admin_*.php;
• ausführbare Dateien in temporären Upload-Verzeichnissen;
• ungewöhnliche Requests an die Bricksforge-REST-API;
• Formularübermittlungen mit manipulierten temporaryFileUploads-Metadaten;
• unbekannte WordPress-Administrator-Konten;
• unerwartete Änderungen an Plugins, Themes oder WordPress-Core-Dateien;
• auffällige ausgehende Netzwerkverbindungen;
• unbekannte Hintergrundprozesse oder geplante Aufgaben.

Prüfen Sie vorhandene Webserver- und Anwendungslogs möglichst ab dem 7. Oktober 2026.

Eine bereits installierte Sicherheitsaktualisierung schließt nicht aus, dass ein Angreifer zuvor schädliche Dateien auf dem Server abgelegt hat.

Bricksforge sofort aktualisieren

Vservs empfiehlt die folgenden Maßnahmen:

1. Prüfen Sie, ob Bricksforge auf der WordPress-Website installiert ist.
2. Kontrollieren Sie die aktuell verwendete Plugin-Version.
3. Aktualisieren Sie betroffene 3.x-Installationen auf mindestens Bricksforge 3.1.8.10.
4. Aktualisieren Sie Installationen der 4.x-Reihe auf mindestens Bricksforge 4.0.1.
5. Überprüfen Sie, ob die Sicherheitsaktualisierung erfolgreich installiert wurde.
6. Untersuchen Sie verfügbare Webserver- und Security-Logs.
7. Kontrollieren Sie Upload-Verzeichnisse auf unerwartete PHP-Dateien.
8. Überprüfen Sie Administrator-Konten und kürzlich vorgenommene Änderungen.
9. Kontrollieren Sie die Integrität von WordPress Core, Plugins und Themes.
10. Stellen Sie sicher, dass ein aktuelles und vertrauenswürdiges Backup verfügbar ist.

Installieren Sie Bricksforge-Updates ausschließlich über die offiziellen Update- und Vertriebskanäle des Herstellers.

Temporäre Schutzmaßnahmen ohne sofortiges Update

Patchstack hat eine spezielle RapidMitigate-Regel bereitgestellt, die Exploitationsversuche gegen CVE-2026-85097 blockieren soll.

Wenn ein sofortiges Update nicht möglich ist, kann eine geeignete virtuelle Sicherheitskorrektur oder Web Application Firewall zusätzlichen Schutz bieten.

Website-Betreiber können außerdem prüfen, ob sich die betroffene Pro-Forms-Funktionalität vorübergehend deaktivieren lässt.

Diese Maßnahmen ersetzen jedoch nicht die Installation des offiziellen Sicherheitsupdates.

Da aktive Angriffe bestätigt sind, sollte die Aktualisierung nicht unnötig verschoben werden.

Was tun, wenn die Website bereits kompromittiert wurde?

Werden Hinweise auf eine erfolgreiche Ausnutzung gefunden, reicht das Aktualisieren von Bricksforge allein nicht aus.

Angreifer könnten bereits Webshells installiert, Website-Dateien verändert oder zusätzliche Zugriffsmöglichkeiten eingerichtet haben.

Eine bestätigte Kompromittierung sollte deshalb als ernsthafter Sicherheitsvorfall behandelt werden.

Je nach Untersuchungsergebnis sind unter anderem folgende Maßnahmen erforderlich:

1. Beschränken Sie den Zugriff auf die betroffene Website, um weitere schädliche Aktivitäten zu verhindern.
2. Sichern Sie relevante Webserver-, PHP- und Anwendungslogs.
3. Identifizieren und entfernen Sie nicht autorisierte ausführbare Dateien.
4. Überprüfen Sie WordPress Core, Plugins, Themes und Must-Use-Plugins.
5. Kontrollieren Sie sämtliche Administrator-Konten und Benutzerberechtigungen.
6. Untersuchen Sie geplante Aufgaben und andere Persistence-Mechanismen.
7. Erneuern Sie möglicherweise kompromittierte Passwörter, API-Schlüssel und Datenbank-Zugangsdaten.
8. Beenden Sie bestehende WordPress-Sitzungen, wenn privilegierte Zugänge betroffen sein könnten.
9. Stellen Sie die Website bei Bedarf aus einem nachweislich sauberen Backup wieder her.
10. Überwachen Sie die Website nach der Bereinigung auf erneute verdächtige Aktivitäten.

Kann der Umfang einer Kompromittierung nicht zuverlässig festgestellt werden, kann ein Neuaufbau der betroffenen Umgebung aus vertrauenswürdigen Quellen erforderlich sein.

Managed WordPress Hosting bei Vservs

Die aktiv ausgenutzte Bricksforge Sicherheitslücke zeigt, wie wichtig kontinuierliches technisches WordPress-Management ist.

Auch kommerzielle WordPress-Plugins können schwerwiegende Sicherheitsprobleme enthalten, die sofortige Maßnahmen erforderlich machen.

Mit Vservs Managed WordPress Hosting können Unternehmen und Organisationen die technische Betreuung ihrer WordPress-Websites auslagern.

Abhängig vom gewählten Leistungsumfang übernehmen wir unter anderem:

• WordPress-Core-, Plugin- und Theme-Updates;
• Security Hardening;
• Monitoring von Websites und Servern;
• Malwarekontrollen und technische Sicherheitsuntersuchungen;
• regelmäßige Backups;
• SSL-Management;
• Performance-Optimierung;
• professionellen technischen Support.

Für geschäftskritische WordPress-Websites und WooCommerce-Shops bietet Vservs außerdem Managed WordPress Pro und Managed WordPress Private mit eigenen VPS-Ressourcen und erweitertem technischen Management.

Darüber hinaus bieten wir Managed VPS Hosting für Unternehmen, die ihre Serverumgebung professionell betreuen lassen möchten.

Unser Schwerpunkt liegt auf sicheren, stabilen und professionell verwalteten Hosting-Umgebungen.

Zusammenfassung

• Software: Bricksforge für WordPress
• CVE: CVE-2026-85097
• Schwachstelle: Unauthenticated Arbitrary File Upload / Remote Code Execution
• Schweregrad: Critical
• CVSS: 10,0 laut Patchstack
• Betroffene 3.x-Versionen: bis einschließlich 3.1.8.9
• Erste korrigierte 3.x-Version: 3.1.8.10
• Sicherheitsupdate für 4.x: 4.0.1 oder neuer
  Alle Sicherheitsupdates

  Neueste Sicherheitsupdates
  Hilfe benötigt? Notfall-Support

  Vservs kann Ihnen helfen

  Benötigen Sie Hilfe bei der Überprüfung, Absicherung oder Wiederherstellung Ihrer Website oder Ihres Onlineshops? Vservs kann die Schwachstelle untersuchen, Updates durchführen und prüfen, ob bereits ein Missbrauch stattgefunden hat. Möchten Sie Sicherheitsrisiken dauerhaft überwachen und die technische Wartung auslagern? Dann informieren Sie sich über unsere Managed-Hosting- und Verwaltungslösungen.

  Unsere Managed-Lösungen ansehen