Une extension WordPress payante, Bricksforge, est attaquée depuis le soir du 7 octobre 2026. La faille CVE-2026-85097 permet à un visiteur anonyme de déposer puis d’exécuter du code PHP sur le serveur, autrement dit de prendre la main sur le site. Toutes les versions jusqu’à la 3.1.8.9 sont concernées, et la mise à jour ne suffit pas : un site déjà visité par les attaquants peut conserver des fichiers piégés.
Une faille de formulaire qui ouvre tout le serveur
Bricksforge ajoute des fonctions au constructeur de sites Bricks Builder. Le défaut se loge dans son module Pro Forms, qui gère l’envoi de fichiers depuis les formulaires. D’après l’analyse publiée par eSecurity Planet, l’extension contrôle bien le type du fichier au moment du téléversement, puis fait confiance aux métadonnées transmises par le navigateur quand le formulaire est validé. Un attaquant peut ainsi faire passer une fausse image, puis la faire déplacer sous la forme d’un script PHP exécutable.
L’attaquant n’a besoin ni de compte ni d’une action d’un utilisateur. Patchstack, la société qui a mené l’analyse technique, attribue à la faille la note maximale de 10 sur 10 ; Wordfence retient pour sa part un score de 9,8. Selon eSecurity Planet, le problème a été signalé par un chercheur qui signe d.v4n_s3c. En cas de succès, l’intrus peut lancer le code de son choix, modifier les pages, consulter des données sensibles et installer une porte dérobée (un « web shell ») pour revenir plus tard.
Des attaques lancées avant même la publication
Le calendrier est serré. Selon eSecurity Planet, Patchstack a capté les premières tentatives à 21 h 47 UTC le 7 octobre. La CVE n’a été publiée que le 8 octobre, quelque neuf heures et demie plus tard. SOCRadar détaille l’activité vue par la télémétrie de Patchstack : 63 adresses IP distinctes, dont un groupe de 44 qui a envoyé 56 requêtes identiques en quelques secondes, et trois adresses qui ont essayé 25 variantes d’extensions et d’encodages sur un même fichier. Les six adresses les plus actives concentrent à elles seules environ 46 % des requêtes observées.
Ces chiffres décrivent des balayages automatisés et répartis sur de nombreuses machines, sans auteur identifié à ce stade. Ils ne disent pas combien de sites ont été effectivement compromis : aucune des sources consultées ne donne ce nombre, ni celui des installations de Bricksforge en service.
Quelle version installer ? Les sources divergent
C’est le point qui prête à confusion. SOCRadar indique que le correctif arrive avec la version 3.1.8.10 et que la version courante de l’éditeur est la 4.0.1, sortie le 8 octobre. eSecurity Planet apporte plus de nuances : la 3.1.8.10 corrige la branche 3.x selon Patchstack, le journal des modifications officiel situe le correctif dans la 4.0.0, la 4.0.1 règle un problème voisin d’import de fichiers dans Pro Forms, et une 4.0.2 est parue le 13 octobre.
La lecture prudente est donc la suivante : toute version 3.1.8.9 ou antérieure est vulnérable, et le plus sûr est d’installer la dernière version publiée de la branche 4. Comme Bricksforge est vendue sous licence et n’est pas distribuée par le répertoire WordPress.org, le tableau de bord peut n’afficher aucune mise à jour en attente. Il faut donc lire le numéro de version réellement installé, et contrôler l’état de la licence comme celui du canal de mise à jour.
Comment savoir si un site a été piégé
Les deux sources insistent sur ce point : le correctif ferme la porte, mais il ne retire pas les fichiers déjà déposés ; eSecurity Planet ajoute qu’il ne supprime pas non plus les comptes créés lors d’une intrusion antérieure. Les indices à rechercher dans les journaux du serveur web et de WordPress, en remontant jusqu’au 7 octobre, sont notamment :
- des requêtes POST vers /wp-json/bricksforge/v1/form_submit qui contiennent un paramètre temporaryFileUploads ;
- des appels à l’action AJAX bricksforge_regenerate_nonce suivis d’un envoi de fichier, ou à l’action bricksforge_form_submit via admin-ajax.php ;
- des métadonnées qui associent un fichier .gif ou .png à une destination en PHP, ou des envois répétés qui jouent sur la casse et l’encodage des noms ;
- des fichiers PHP qui n’ont rien à faire dans le dossier /wp-content/uploads/bricksforge/tmp/ ou dans d’autres dossiers de téléversement, en particulier ceux nommés login_admin_*.php ;
- des comptes administrateurs ajoutés ou modifiés sans explication.
En cas de doute sérieux, eSecurity Planet recommande d’appliquer une procédure de réponse à incident avant de remettre le site en production. Si la mise à jour doit attendre, un pare-feu applicatif ou un correctif virtuel (Patchstack en propose un) peut bloquer les envois qui associent une image à une destination PHP. C’est une mesure d’attente, pas un substitut à la mise à jour.
Questions fréquentes
Mon site utilise Bricks Builder sans Bricksforge : suis-je concerné ?
Non, la faille CVE-2026-85097 touche l’extension Bricksforge et non le constructeur Bricks lui-même. Mieux vaut toutefois relire la liste des extensions actives : Bricksforge a pu être ajoutée par un prestataire lors de la création du site.
Mes formulaires n’ont aucun champ d’envoi de fichier. Suis-je à l’abri ?
Pas forcément. D’après eSecurity Planet, l’éditeur indique que le problème voisin corrigé dans la version 4.0.1 touche les installations de Pro Forms même quand les formulaires n’affichent aucun champ d’envoi de fichier. Tout site qui utilise Pro Forms mérite donc d’être mis à jour et contrôlé.
La mise à jour suffit-elle à régler le problème ?
Elle empêche de nouvelles intrusions par cette faille, mais elle n’efface rien de ce qui a pu être déposé depuis le 7 octobre. Il reste à contrôler les dossiers de téléversement, la liste des administrateurs et les journaux d’accès.
Sources
- CVE-2026-85097: Bricksforge WordPress Plugin Flaw Exploited for Unauthenticated RCE — SOCRadar, 2026-10-12
- Vulnérabilité CVE-2026-85097 de Bricksforge : ce que les propriétaires de sites doivent savoir — eSecurity Planet, 2026-10-13