Bricksforge, falla critica nel plugin WordPress: attacchi in corso

Il 12 ottobre 2026 SecurityWeek e The Hacker News hanno riportato l'allarme di Patchstack, società specializzata nella sicurezza di WordPress: la vulnerabilità CVE-2026-85097 del plugin Bricksforge è sfruttata negli attacchi dal 7 ottobre. La falla permette a un visitatore qualsiasi, senza login, di caricare un file PHP sul sito e di eseguirlo. Patchstack le assegna il punteggio massimo, 10 su 10; Wordfence la valuta 9,8. Sono colpite le versioni fino alla 3.1.8.9, la correzione è nella 3.1.8.10.

Che cos'è Bricksforge e chi rischia?

Bricksforge è un'estensione commerciale per Bricks, uno dei costruttori visuali di pagine per WordPress. Aggiunge moduli di contatto avanzati, animazioni, un editor per le email e pagine di amministrazione. Secondo Patchstack, citata da SecurityWeek, lo usano circa 6.000 siti.

Non è un numero enorme, ma il profilo è preciso: siti aziendali e vetrine curate, spesso realizzati da agenzie o freelance e poi consegnati al cliente. Proprio quelli in cui, finito il lavoro, nessuno controlla più gli aggiornamenti dei plugin a pagamento.

Come funziona l'attacco?

The Hacker News riassume l'analisi di Patchstack e di Wordfence. Il plugin controlla il tipo di file solo al primo caricamento, quando il visitatore allega qualcosa a un modulo. Al momento dell'invio del modulo, invece, si fida dei dati che arrivano dal browser.

L'attaccante quindi:

1. ottiene un codice di sicurezza (nonce) da un indirizzo del sito che lo rilascia a chiunque;
2. carica un'immagine GIF che contiene anche codice PHP: supera il controllo perché è davvero un'immagine valida;
3. invia il modulo indicando come destinazione un nome di file che finisce in .php;
4. il plugin copia il contenuto lì, e da quel momento il codice si esegue aprendo l'indirizzo del file.

Con l'esecuzione di codice sul server l'attaccante può prendersi il sito, installare una backdoor, leggere il database con i dati dei clienti.

Gli attacchi sono già partiti?

Sì. Patchstack ha visto i primi tentativi il 7 ottobre alle 21:47 (ora UTC), rivolti agli indirizzi con cui Bricksforge riceve i moduli. SecurityWeek riporta richieste arrivate da decine di indirizzi IP diversi, con payload identici: un andamento da attacco automatizzato, che passa in rassegna i siti in cerca di quelli non aggiornati. Patchstack non attribuisce la campagna a un gruppo preciso.

Questo è il punto da capire: chi lancia questi attacchi non sceglie la vittima. Prova su tutti i siti che trova, e il sito della piccola impresa vale quanto quello di una multinazionale, perché serve comunque a ospitare malware, mandare spam o rubare dati.

Cosa cambia per una PMI con un sito WordPress?

Se il tuo sito è fatto con Bricks, chiedi a chi l'ha realizzato se usa anche Bricksforge. Se non lo sai, puoi verificarlo tu nella pagina Plugin della bacheca di WordPress.

Il problema più grande, di solito, non è la falla in sé ma la licenza scaduta: i plugin commerciali si aggiornano solo con una licenza attiva, e capita spesso di trovarli fermi a versioni di un anno prima.

Cosa fare adesso?

1. Aggiorna Bricksforge alla versione 3.1.8.10 o successiva. Se la licenza è scaduta, rinnovala o fatti dare l'aggiornamento da chi ha fatto il sito.
2. Se non puoi aggiornare subito, disattiva il plugin: meglio qualche modulo che non funziona per un giorno che un sito compromesso.
3. Controlla le cartelle dei caricamenti (wp-content/uploads) in cerca di file .php, che lì non dovrebbero esserci.
4. Verifica gli utenti amministratori e cambia le password se ne trovi di sconosciuti.
5. Se trovi tracce di compromissione, non limitarti a cancellare i file: le infezioni moderne si ricostruiscono, come racconto nella notizia sulla backdoor di WordPress che si rigenera. La procedura completa è in sito hackerato: cosa fare.

Nello stesso periodo è emersa anche una falla nel motore PHP che sta sotto WordPress: ne ho parlato nell'articolo su PHP2Shell.

Ne parliamo?

Un sito aziendale fatto con WordPress va aggiornato con regolarità: core, tema, plugin e versione di PHP, con un backup prima di ogni intervento. È quello che faccio con il servizio di manutenzione e hosting. Se invece il sito è pieno di plugin di cui nessuno sa più il motivo, forse conviene valutare un rifacimento più snello. Scrivimi dalla pagina contatti e ne parliamo.

Fonti

• Bricksforge WordPress Plugin Vulnerability Exploited in the Wild (SecurityWeek)
• Attackers Exploit CVSS 10.0 Bricksforge WordPress Flaw Enabling Unauthenticated RCE (The Hacker News)

Crediti delle immagini

• Copertina: foto di Daniil Komov su Pexels