CVE-2026-85097: RCE de CVSS 10 en Bricksforge para WordPress

Un fallo de gravedad máxima, CVSS 10.0 (consulta el desglose del vector), en un plugin popular de WordPress está siendo atacado activamente. CVE-2026-85097 permite a un atacante no autenticado subir y ejecutar PHP arbitrario en cualquier sitio que use una versión vulnerable de Bricksforge, el complemento «navaja suiza» para el constructor visual Bricks. Si lo usas, actualiza ya y después ponte a buscar, porque parchear no deshace una brecha que ya ocurrió.

Recopilado a partir de The Hacker News, con telemetría de Patchstack y Wordfence. Un análisis defensivo para responsables de seguridad y para quienes administran los sitios.

Qué está roto

Bricksforge añade animaciones, formularios avanzados y secuencias de vídeo con desplazamiento a los sitios de WordPress creados con Bricks. El fallo es un error de manual de confiar en el cliente: el plugin valida el tipo MIME del archivo al subirlo, pero después confía en metadatos que envía el cliente; en concreto, no valida el campo url dentro del parámetro temporaryFileUploads. Ese hueco convierte una comprobación del tipo de archivo en una escritura arbitraria.

Cómo funciona el ataque

1. Obtener un nonce. El endpoint AJAX sin autenticación bricksforge_regenerate_nonce entrega un nonce válido, sin necesidad de iniciar sesión.
2. Subir un políglota. Se sube un políglota GIF/PHP al directorio temporal, donde supera la comprobación MIME porque de verdad parece un GIF.
3. Dirigir la escritura a una ruta .php. Un envío de formulario hace referencia al GIF validado en su campo file mientras el campo url termina en .php.
4. Se ejecuta el código. El servidor escribe el contenido del archivo en la ruta .php, y el código incrustado se ejecuta en cuanto se solicita esa ruta: ejecución remota de código completa como el servidor web.

Ya se está explotando

No es teórico. Patchstack registró intentos de explotación a partir del 7 de octubre de 2026 a las 21:47 UTC, desde 63 IP de origen únicas. Seis IP generaron aproximadamente el 46 % del tráfico; un grupo de 44 IP lanzó 56 solicitudes con carga idéntica en cuestión de segundos, y otro trío probó 25 variantes distintas de extensión y codificación (.php5, .php7, .phtml, cambios de mayúsculas y minúsculas y codificación URL): la firma de herramientas automatizadas de explotación masiva que corren para adelantarse a los parches.

El checklist del defensor

• Actualiza de inmediato. Vulnerables: hasta la 3.1.8.9 incluida. Corregido en la 3.1.8.10; el proveedor recomienda pasar a la última versión (4.0.1). Confírmalo con el registro de cambios y actualiza.
• Busca en el tráfico. Audita las solicitudes a /wp-json/bricksforge/v1/form_submit y a /wp-admin/admin-ajax.php con la acción bricksforge_form_submit que lleven un parámetro temporaryFileUploads, y busca envíos idénticos repetidos.
• Revisa la zona de depósito. Busca en /wp-content/uploads/bricksforge/tmp/ archivos PHP inesperados.
• Da por hecha la brecha si estuviste expuesto. Parchear cierra la puerta; no echa a quien ya está dentro. Un sitio que usó una versión vulnerable durante la ventana de explotación activa debe tratarse como un posible compromiso e investigarse: web shells, nuevos usuarios administradores, archivos del núcleo modificados, conexiones salientes.

La lección para la dirección

Una RCE con CVSS 10.0, sin autenticación y explotada activamente en un plugin de terceros es justo la exposición de cadena de suministro que queda fuera de la mayoría de los inventarios de activos: un sitio de marketing, construido sobre un constructor de páginas, ampliado con un complemento que nadie del equipo de seguridad eligió. La lección no es «WordPress es malo», sino que cada propiedad web pública necesita un responsable, un SLA de parches y una respuesta ensayada para el día en que uno de sus plugins se vuelva crítico. Si quieres poner a prueba ese músculo, nuestro simulador de incidentes Cyber War Room recorre exactamente las decisiones que impone este fallo (¿aislar primero o hacer primero la imagen?, ¿cuándo comunicarlo?, ¿a quién llamar?) y el CISO Readiness Scorecard gratuito muestra cuál es tu área de respuesta más débil antes de que la encuentre un atacante.

A 12 de octubre de 2026. Los detalles (incluida la versión corregida exacta) evolucionan: confírmalos con el registro de cambios del proveedor y los avisos de Patchstack y Wordfence antes de actuar. Investiga solo los sistemas que estés autorizado a administrar.