WordPress拡張プラグイン「Bricksforge」に深刻度最大の脆弱性、認証不要の遠隔コード実行を狙う攻撃が発生
要点
-
WordPress向け拡張プラグイン「Bricksforge」に、最も高い深刻度であるCVSS 10.0の脆弱性「CVE-2026-85097」が判明した。
-
認証を受けていない第三者が悪意あるPHPコードを送り込み、サーバー上で遠隔実行してWebサイト全体を乗っ取ることが可能になる。
-
セキュリティ企業Patchstackが2026年10月7日に実際の悪用を検知し、分散インフラを用いた自動化攻撃の発生を報告した。
-
影響範囲はバージョン3.1.8.9以前であり、修正パッチが提供されたほか、最新バージョン4.0.1への更新が呼びかけられている。
-
WordPressの人気ビジュアル制作ツールを拡張するプラグイン「Bricksforge」において、極めて深刻な脆弱性が発見され、すでにインターネット上で悪用を狙った攻撃が相次いでいることが明らかになった。WordPress向けセキュリティサービスを提供するPatchstackなどの報告によると、本脆弱性は共通脆弱性評価システム（CVSS）で最高値となる10.0と判定されている。ログインしていない外部の攻撃者であってもサーバー上で任意のプログラムを実行できる状態となっており、セキュリティ各社が迅速な対応を呼びかけている。
最大深刻度の欠陥「CVE-2026-85097」と影響範囲
今回確認された脆弱性は「CVE-2026-85097」として登録された。対象となっているBricksforgeは、WordPressのWebサイト構築ツール「Bricks」向けに、アニメーションや高度なフォーム、スクロール連動の動画演出機能などを追加する拡張プラグインだ。
影響を受けるのは、Bricksforgeのバージョン3.1.8.9以前の環境である。この欠陥を突かれると、未認証の攻撃者が任意のPHPコードをアップロードして遠隔コード実行（RCE）を達成できるという。その結果、遠隔操作用の不正プログラムであるWebシェルの設置や機密データの閲覧、持続的な侵入経路の確保が行われ、Webサイト全体を掌握される危険性がある。
開発元はバージョン3.1.8.10で修正パッチを公開しており、ユーザーに対しては最新バージョンである4.0.1へのアップデートが案内されている。
メタデータの盲信を突く4つの攻撃手順
Patchstackおよび同じくWordPressセキュリティを手がけるWordfenceの分析によると、問題の根本原因はフォーム送信処理における一時ファイルのURL検証不足にある。
Bricksforgeはファイルの初回アップロード時にはMIMEタイプ（ファイル形式を判別する識別子）を正しく検査する。しかし、その後のフォーム送信段階になるとクライアント側から送られるメタデータを信頼してしまい、「temporaryFileUploads」パラメータ内のURLフィールドを検証していなかったという。
攻撃者はこの不備を突き、主に以下の4段階の手順で遠隔コード実行を成立させると説明されている。
- 認証不要のAJAXエンドポイント「bricksforge_regenerate_nonce」から有効なNonce（使い捨ての認証トークン）を取得する。
- 有効な画像でありながらPHPコードを含む「GIF/PHPポリグロット」（複数形式として解釈できる特殊なファイル）をアップロードし、一時ディレクトリへ保存させる。
- フォーム送信時、ファイルパスには検査済みの画像を指定しつつ、URLパラメータの末尾を「.php」拡張子に書き換えて送信する。
- プラグインがメタデータを信用してファイル内容をPHPとして配置するため、そのURLへアクセスすることでコードが実行される。
観測された攻撃手口と分散インフラ
Patchstackによると、本脆弱性を突く実際の攻撃活動は2026年10月7日21時47分（UTC）に初めて検知された。
攻撃者はREST APIエンドポイント「/wp-json/bricksforge/v1/form_submit」や管理用AJAXエンドポイントに対し、細工したリクエストを送信している。リクエストでは、指定ファイルが画像であるのに対し、URLがPHPペイロード（攻撃用に実行されるコード）を指すという不一致が悪用されていた。また、拡張子フィルタを回避するため、「.php5」などの代替拡張子や大文字小文字の混在、URLエンコードされた拡張子を悪用する手口も確認されたという。
テレメトリデータ（遠隔測定情報）では63個の固有IPアドレスから攻撃が記録され、上位6つのIPアドレスが全体の約46%を占めていた。さらに、44個のIPから数秒間に同一ペイロードが一斉送信されたケースや、3個のIPから同一ファイルに対して25通りの拡張子パターンをテストした事例が確認されている。Patchstackは、ローテーションプロキシや分散インフラを用いた自動化攻撃が行われていると分析している。
推奨される更新とログ監査による対応
危険性が極めて高いことから、利用者はプラグインを最新バージョン4.0.1へ速やかに更新することが求められている。
あわせてサイト管理者にはログの監査が推奨されている。「temporaryFileUploads」パラメータを含むフォーム送信リクエストや、短時間の繰り返された送信履歴の調査が求められる。また、サーバーの一時保存ディレクトリ「/wp-content/uploads/bricksforge/tmp/」内に、意図しないPHPファイルが配置されていないか点検することが重要だとされている。