Lỗ hổng CVSS 10.0 trong plugin Bricksforge cho WordPress đang bị khai thác

Công ty bảo mật WordPress Patchstack cảnh báo một lỗ hổng ở mức điểm tối đa trong plugin Bricksforge đang bị khai thác ngoài thực tế. Lỗ hổng mang mã CVE-2026-85097 (CVSS 10.0), cho phép kẻ tấn công không cần đăng nhập tải lên và thực thi mã PHP tùy ý, tức chiếm quyền website từ xa (RCE).

Bricksforge là plugin bổ trợ cho trình dựng giao diện Bricks, cung cấp hiệu ứng động, form nâng cao, video cuộn... Lỗ hổng ảnh hưởng mọi phiên bản tới 3.1.8.9 và đã được vá ở 3.1.8.10. Phiên bản mới nhất hiện là 4.0.1.

Patchstack phát hiện các nỗ lực khai thác đầu tiên lúc 21:47 UTC ngày 7/10/2026.

Nguyên nhân

Bricksforge có kiểm tra loại file (MIME type) ở bước tải lên ban đầu. Nhưng khi form được gửi đi sau đó, plugin lại tin hoàn toàn vào metadata do client gửi lên, cụ thể là không kiểm tra trường url bên trong tham số temporaryFileUploads.

Chuỗi khai thác gồm 4 bước:

1. Lấy một nonce hợp lệ từ AJAX endpoint bricksforge_regenerate_nonce - endpoint này không yêu cầu đăng nhập.
2. Tải lên một file "polyglot" vừa là ảnh GIF hợp lệ vừa chứa mã PHP. File vượt qua bước kiểm tra MIME và nằm trong thư mục tạm.
3. Gửi form với đường dẫn file trỏ tới file ảnh đã được chấp nhận, nhưng url lại kết thúc bằng đuôi .php.
4. Bricksforge ghi nội dung file vào vị trí .php đó; khi file được truy cập, mã PHP nhúng bên trong sẽ chạy.

Khi chạy được PHP, kẻ tấn công có thể chiếm toàn quyền website, cài web shell, đọc dữ liệu nhạy cảm và duy trì truy cập lâu dài.

Diễn biến các cuộc tấn công

• Mục tiêu là endpoint REST /wp-json/bricksforge/v1/form_submit hoặc /wp-admin/admin-ajax.php với action bricksforge_form_submit, kèm tham số temporaryFileUploads được chế tác.
• Để lách bộ lọc đuôi file, kẻ tấn công dùng các đuôi PHP thay thế (.php5, .php7, .phtml), đổi hoa thường (.PHP, .pHp) hoặc mã hóa URL (%2ephp...).
• Patchstack ghi nhận hoạt động từ 63 địa chỉ IP, trong đó 6 IP chiếm khoảng 46% lượng request. Có hai cụm nổi bật: 44 IP gửi 56 request giống hệt nhau trong vài giây, và 3 IP thử 25 biến thể đuôi file trên cùng một file tạm - dấu hiệu của khai thác tự động qua proxy xoay vòng.

Cần làm gì?

• Cập nhật Bricksforge lên phiên bản mới nhất (4.0.1).
• Rà soát log các request tới /wp-json/bricksforge/v1/form_submit có chứa temporaryFileUploads, các lần gửi form lặp lại bất thường.
• Kiểm tra thư mục /wp-content/uploads/bricksforge/tmp/ xem có file PHP lạ không.

Hai plugin khác cũng đang bị khai thác

Cùng thời điểm, kẻ tấn công đang lợi dụng lỗi XSS trong WPC Product Bundles for WooCommerce (CVE-2026-93836, CVSS 7.1) và Ninja Forms (CVE-2026-94504, CVSS 7.1) để chạy một đoạn JavaScript (x.js) trong trình duyệt của quản trị viên đang đăng nhập. Đoạn mã này lợi dụng phiên quản trị để:

• cài một plugin backdoor có trình quản lý file không cần xác thực;
• tạo tài khoản quản trị bị ẩn khỏi màn hình Users;
• tạo "magic login URL" cho phép đăng nhập dưới danh nghĩa quản trị viên lâu đời nhất.

Bản vá lần lượt có ở 8.6.7 (WPC Product Bundles) và 3.15.4 (Ninja Forms). Lưu ý: cập nhật chỉ ngăn khai thác mới, không gỡ được lây nhiễm đã có. Chủ website nên truy vấn trực tiếp database để tìm quản trị viên ẩn, kiểm tra thư mục mu-plugins và xem lại log máy chủ web.

Bức tranh bảo mật WordPress quý 2/2026

Theo số liệu của Wordfence, quý 2/2026 có 2.073 lỗ hổng liên quan WordPress được công bố; số lỗ hổng mức đe dọa cao tăng 15,2% so với quý trước, lên 182. Khoảng 573.000 website WordPress bị xâm nhập trong giai đoạn này. Năm lỗ hổng bị tấn công nhiều nhất:

Đáng chú ý, nhiều lỗ hổng trong danh sách đã có bản vá từ nhiều năm trước - cho thấy rất nhiều website vẫn chạy plugin cũ. Tường lửa, cập nhật kịp thời, cấu hình an toàn và quét mã độc định kỳ vẫn là những lớp phòng thủ cơ bản nhất.

Nguồn tham khảo: The Hacker News, Patchstack và Wordfence.