Patchstack'e göre WordPress için Bricksforge eklentisini etkileyen maksimum şiddetli bir güvenlik açığı gerçek dünyada aktif olarak istismar ediliyor.
Kritik açık CVE-2026-85097 (CVSS 10.0) kimlik doğrulaması yapılmamış saldırganların savunmasız WordPress sitelerinde keyfi PHP kodu yükleyip çalıştırmasına olanak tanıyor ve bu durum uzaktan kod çalıştırma ile sonuçlanıyor. Güvenlik açığı 3.1.8.9 ve önceki Bricksforge sürümlerini etkiliyor. Düzeltmeler 3.1.8.10 sürümünde yayınlandı.
Bricksforge, WordPress için Bricks görsel web sitesi oluşturma aracına animasyonlar, gelişmiş formlar ve kaydırma video dizileri desteğiyle "İsviçre çakısı" olarak tanıtılan bir WordPress eklentisidir.
WordPress güvenlik şirketi Patchstack, açığı hedef alan istismar çabalarını 7 Ekim 2026'da 21:47 UTC'de tespit ettiğini söyledi.
Patchstack'e göre "Bricksforge bir dosya ilk yüklendiğinde dosyanın MIME türünü doğrular. Bir form daha sonra gönderildiğinde ise istemcinin gönderdiği dosya meta verilerine güvenir. Özellikle 'temporaryFileUploads' parametresi içindeki 'url' alanını doğrulamaz."
Üst düzeyde açık, form gönderimi sırasında 'temporaryFileUploads' parametresindeki bir URL alanının yetersiz doğrulanmasından kaynaklanıyor. Bir saldırgan bu boşluğu dört adımda istismar ederek uzaktan kod çalıştırma elde edebilir.
Kimlik doğrulaması yapılmamış 'bricksforge_regenerate_nonce' AJAX uç noktasından geçerli bir nonce iste.
GIF/PHP poliglot yükle: Geçerli bir görüntü olan ancak aynı zamanda PHP kodu da içeren bir dosya. MIME kontrolünden geçer ve geçici yükleme dizinine yerleşir.
'file' yolu o doğrulanmış görüntüye işaret eden ancak 'url' PHP uzantısıyla biten bir form gönder.
Bricksforge gönderilen meta verilere dolaylı olarak güvenir ve dosyanın içeriğini PHP konumuna yerleştirir, bu dosya istendiğinde gömülü kodun çalıştırılmasına yol açar.
Wordfence, açıkla ilgili bir danışmada "Kimlik doğrulaması yapılmamış bir saldırgan önce bricksforge_regenerate_nonce AJAX uç noktası üzerinden geçerli bir nonce elde edebilir, ardından MIME türü doğrulaması doğru şekilde gerçekleştirilen geçici yükleme dizinine bir GIF/PHP poliglot dosyası yükleyebilir" dedi.
"Ardından saldırgan, sunucu tarafı dosya yolu doğrulanmış GIF dosyasına işaret eden ancak saldırganın kontrolündeki url alanı .php uzantısıyla biten hazırlanmış bir 'temporaryFileUploads' parametresiyle bir form gönderebilir."
Açığın başarılı istismarı sunucuda keyfi PHP çalıştırılmasına yol açabilir ve saldırgan bunu WordPress sitesinin kontrolünü ele geçirmek, web shell dağıtmak, hassas verileri okumak ve kalıcı erişim sağlamak için kullanabilir.
Patchstack'in gözlemlediği saldırılarda tehdit aktörleri Bricksforge REST API form gönderim uç noktası "/wp-json/bricksforge/v1/form_submit" veya "bricksforge_form_submit" eylemiyle birlikte hazırlanmış bir "temporaryFileUploads" parametresi içeren "/wp-admin/admin-ajax.php" uç noktasını hedefliyor.
Temsili bir istek şu şekildedir.
Wordfence'in belirttiğine göre tehdit aktörleri, belirtilen "file" argümanının bir GIF (veya PNG) dosyası olduğu ancak gerçek URL'nin bir PHP yüküne işaret ettiği bir uyuşmazlığı istismar ediyor.
Uzantı filtrelemesini aşmak için istismar faaliyeti alternatif PHP uzantılarını (ör. .php5, .php7 veya .phtml), durum manipülasyonunu (ör. .PHP, .Php veya .pHp) ve kodlanmış uzantıları (ör. .%70hp, %2ephp veya .%2570%2568%2570) kullanıyor.
Patchstack'e göre "Telemetrümüzde iki küme öne çıkıyor. Birincisinde 44 IP, birbirinden saniyeler içinde aynı yüklerle 56 istek gönderdi. İkincisinde üç IP, aynı geçici dosyaya karşı PHP uzantılarının ve kodlamalarının 25 varyasyonunu test etti."
"Her iki desen de dönen vekiller veya dağıtık altyapı üzerinden otomatik istismara işaret ediyor. Yalnız başlarına faaliyeti tek bir tehdit aktörüne atfetmiyorlar."
Faaliyet 63 benzersiz kaynak IP'den kaydedildi ve bunların altısı tüm isteklerin yaklaşık %46'sını oluşturuyor.
Kullanıcıların tehdidi azaltmak için eklentiyi en son sürüme (4.0.1) güncellemesi öneriliyor. Site sahiplerinin "/wp-json/bricksforge/v1/form_submit" uç noktasına gelen ve "temporaryFileUploads" parametresi içeren istekleri, tekrarlanan form gönderimlerini ve "/wp-content/uploads/bricksforge/tmp/." dizinindeki beklenmeyen PHP dosyalarını denetlemesi tavsiye ediliyor.
WPC Product Bundles for WooCommerce ve Ninja Forms açıkları istismar ediliyor
Açıklama, tehdit aktörlerinin aynı zamanda iki ilgisiz WordPress eklentisi WPC Product Bundles for WooCommerce (CVE-2026-93836, CVSS puanı: 7.1) ve Ninja Forms (CVE-2026-94504, CVSS puanı: 7.1) üzerindeki çapraz site betikleme açıklarını kötüye kullanarak "x.js" adlı bir JavaScript yükü dağıtması nedeniyle geldi. Bu yük bir arka kapı eklentisi dağıtabiliyor ve sahte yönetici hesapları oluşturabiliyor.
Eklenti, eklentinin ana PHP dosyasına doğrudan istekle erişilebilen kimlik doğrulaması yapılmamış bir dosya yöneticisine sahip. Ayrıca Kullanıcılar ekranından gizli bir WordPress yöneticisi oluşturuyor ve en eski site yöneticisi olarak kimlik doğrulaması yapan sahibi kimlik doğrulayan bir sihirli giriş URL'si kuruyor.
Patchstack'e göre "Bu, oturum açmış bir yöneticinin tarayıcısında çalışacak şekilde tasarlanmış bir WordPress sonrası istismar ve kalıcılık implantıdır. Tetiklendiğinde, kurbanın kimliği doğrulanmış wp-admin oturumunu kötüye kullanarak kötü amaçlı bir WordPress eklentisi kurar, yeni bir yönetici hesabı oluşturur, ek bir gizli kalıcılık mekanizması çağırır ve sonuçları saldırganın kontrolündeki altyapıya bildirir."
Vulnerable eklentilerin güncellenmesinin (WPC Product Bundles for WooCommerce için sürüm 8.6.7 ve Ninja Forms için sürüm 3.15.4) daha fazla istismarı önlemesine rağmen mevcut bir enfeksiyonu kaldırmadığını vurgulamak gerekiyor. Site sahiplerinin gizli yöneticiler için veritabanını doğrudan sorgulayarak denetim yapması, must-use eklenti dizinini kontrol etmesi ve web sunucusu günlüklerini incelemesi şart.
2026'nın ikinci çeyreğinde WordPress istismar trendleri
Wordfence verilerine göre 2026'nın ikinci çeyreğinde toplam 2.073 WordPress ile ilgili güvenlik açığı yayınlandı ve yüksek tehditli açıkların sayısı bir önceki çeyreğe göre %15,2 artarak 182'ye ulaştı. Bu dönemde yaklaşık 573.000 WordPress sitesi tehlikeye girdi.
Saldırganların hedef aldığı ilk beş güvenlik açığı aşağıda listelenmiştir.
CVE-2024-28000 (CVSS puanı: 9.8) - LiteSpeed Cache <= 6.3.0.1 - Kimlik doğrulaması yapılmamış ayrıcalık yükseltme
CVE-2019-9879 (CVSS puanı: 9.8) - WPGraphQL <= 0.2.3 - Yönetici kullanıcı oluşturma
CVE-2016-15042 (CVSS puanı: 9.8) - Frontend File Manager < 4.0 & N-Media Post Front-end Form < 1.1 & - Keyfi dosya yükleme
CVE-2023-28121 (CVSS puanı: 9.8) - WooCommerce Payments 4.8.0 - 5.6.1 Kimlik doğrulama atlama ve ayrıcalık yükseltme
CVE-2025-3102 (CVSS puanı: 8.1) - SureTriggers <= 1.0.78 - Kimlik doğrulaması yapılmamış yönetici kullanıcı oluşturma
Saldıran IP adreslerinin büyük çoğunluğu ABD'den geldi, ardından Almanya, Çekya, Avustralya, Norveç, Fransa, Ukrayna, Hollanda, İsviçre ve Brezilya geldi.
Wordfence'e göre "Güçlü bir güvenlik duvarı, zamanında güvenlik açığı yamaları ve sertleştirilmiş yapılandırmalar kötü amaçlı trafiği sitenize ulaşmadan önce engellemeye yardımcı olur. Kapsamlı tarama, sitenizde bir ihlal girişiminin işareti olabilecek güvenlik açıklarını, kötü amaçlı yazılımı veya şüpheli değişiklikleri belirlemeye yardımcı olur. Kritik olaylar, giriş girişimleri ve dosya değişiklikleri hakkında gerçek zamanlı uyarılar tehditlerin önünde kalmanıza yardımcı olur."
