Hikosachi 開発チームです。
今回は、Bricks Builder向けの拡張プラグイン「Bricksforge」で見つかった、未認証のまま任意のファイルをアップロードできる脆弱性についてお伝えします。
セキュリティ企業Patchstackが実際の悪用を観測しており、認証不要のままリモートコード実行（RCE）、つまりサイトの完全な乗っ取りにつながる危険度の高い内容です。
該当プラグインをお使いの場合は至急ご確認ください。
今回のポイント
- 人気ページビルダー「Bricks Builder」用の拡張プラグイン「Bricksforge」バージョン3.1.8.9以前に、未認証の任意ファイルアップロードの脆弱性（CVE-2026-85097）が見つかった。CVSSスコアは報告元により9.8〜10.0（最高水準）。
- Patchstackは2026年10月7日21:47（UTC）に最初の攻撃試行を検知。これまでに63以上の異なるIPアドレスからの攻撃が確認されている。
- 攻撃者は認証不要のAjaxエンドポイントからセキュリティトークン（nonce）を取得し、画像ファイルの検証を通過する「GIF/PHPポリグロットファイル」をアップロードすることでサーバー上でPHPコードを実行できる。
- インストール数は約6,000件とそれほど多くはないが、悪用されると管理者権限を奪われサイトを完全に乗っ取られる重大な内容のため注意が必要。
1. Bricksforge「CVE-2026-85097」の未認証ファイルアップロード脆弱性
「Bricksforge」は、ノーコード系ページビルダーとして人気の「Bricks Builder」テーマ向けに、フォーム機能やアニメーションなどの追加機能を提供する拡張プラグインです。そのフォーム機能（Pro Forms）に、未認証の攻撃者が任意のファイルをアップロードできる脆弱性が見つかりました。
影響を受けるのはバージョン3.1.8.9以前で、修正版は3.1.8.10（最新版への更新がより安全）です。
報告によると、プラグインはファイルの最初のアップロード時にはファイル形式をチェックしますが、フォーム送信時にクライアント側から送られるURL等のメタ情報は検証せずに信用してしまう実装になっていました。
攻撃者はまず認証不要のAjaxエンドポイント（nonceの再発行用）からセキュリティトークンを取得し、画像形式のチェックを通過する「GIF/PHPポリグロットファイル」（画像とPHPコードの両方として解釈できるファイル）をアップロードすることで、サーバー上に悪意のあるPHPファイルを配置し実行できてしまいます。
Patchstackは2026年10月7日21:47（UTC）に最初の攻撃試行を検知し、これまでに63以上の異なるIPアドレスからの悪用の試みを確認しています。
Patchstack自身は検知前に自社の仮想パッチ（通信層での防御）を適用していたとしていますが、それ以外の環境では実際に悪用され得る状態にあるため、プラグイン更新を最優先で行ってください。
対応策
Bricksforgeをバージョン3.1.8.10以降（可能であれば配布されている最新版）へ至急更新してください。更新に加えて、(1) `wp-content/uploads` 配下に見覚えのないPHPファイルがないか、(2) 見覚えのない管理者アカウントが作成されていないか、(3) フォーム経由の不審な送信履歴がないか、を必ず確認してください。
心当たりがある場合は、バックアップからの復元や管理者パスワード・各種APIキー、wp-config.phpの認証用ソルト（AUTH_KEY等）の再発行も検討してください。
まとめ
Bricks Builderと「Bricksforge」を組み合わせてお使いの場合は、まずバージョンの確認と更新を優先してください。インストール数自体は大規模プラグインほど多くありませんが、未認証のまま悪用できるRCE（リモートコード実行）は被害が深刻になりやすいため、該当する場合は後回しにせず対応することをおすすめします。
サイトの挙動に不安がある場合や、ご自身での調査・対応が難しい場合は、アイネクシオ合同会社までお気軽にご相談ください。
