Hikosachi 開発チームです。
今回は、ページビルダー「Bricks」用の拡張プラグイン「Bricksforge」で見つかった、未認証（ログイン不要）で任意のPHPコードを実行できる深刻な脆弱性と、その実際の悪用についてお届けします。
悪用に管理者権限どころかログイン自体が不要という点に加え、既に自動化された攻撃が観測されている点が特に重要です。
今回のポイント
- ページビルダー「Bricks」の拡張プラグイン「Bricksforge」バージョン3.1.8.9以前に、未認証の攻撃者がPHPコードを含むファイルをアップロード・実行できる脆弱性（CVE-2026-85097）が見つかった。セキュリティベンダーPatchstackはCVSS 10.0（最大値）、Wordfenceは9.8（Critical）と評価している。
- 原因は、ファイルの初回アップロード時にはMIMEタイプの検証を行っているものの、後続のフォーム送信時にクライアント側から送信される情報（temporaryFileUploadsパラメータ内のurlフィールドなど）をそのまま信用してしまう実装上の不備とされる。GIFとPHPの両方として解釈できる「ポリグロットファイル」を使うことで検証をすり抜け、最終的に.php拡張子のファイルとして保存・実行させる手口が報告されている。
- Patchstackは2026年10月7日21:47（UTC）に63個の異なるIPアドレスからの悪用試行を観測したと報告。特定の攻撃者グループに紐づく証拠はなく、ローテーションするプロキシ等の分散インフラを使った自動化された攻撃とみられている。
- 修正版はバージョン3.1.8.10（開発元の最新版は4.0.1）。該当バージョンを使用している場合は速やかな更新が必要。
- 既に侵害されている可能性を確認する手がかりとして、サイト内の「/wp-content/uploads/bricksforge/tmp/」ディレクトリに見覚えのないPHPファイルが置かれていないかの確認が挙げられている。
Bricksforgeの脆弱性と実際の悪用について
「Bricksforge」は、ノーコード系ページビルダー「Bricks」向けの拡張（アドオン）プラグインで、カスタムフィールドやフォーム機能などを追加できる人気プラグインです。
Patchstackの調査によると、このプラグインのファイルアップロード処理には、最初のアップロード時にMIMEタイプを検証する一方で、その後のフォーム送信時にはクライアント（ブラウザ側）から送られてくるメタデータを十分に検証せずに信用してしまう不備があったとされています。
攻撃者はこの不備を利用し、GIF画像とPHPスクリプトの両方として解釈できる「ポリグロットファイル」をアップロードすることで、見た目上は画像ファイルのチェックを通過させつつ、実際には.php拡張子のファイルとしてサーバー上に保存させることができたと報告されています。
保存されたファイルはWebサーバー上で直接実行可能なため、ログインすら必要とせず、第三者がサイトを完全に乗っ取れる状態になっていたことになります。
Patchstackは2026年10月7日の夜（21:47 UTC）以降、63個の異なるIPアドレスから、この脆弱性を狙った悪用の試行を検知したと発表しています。
特定の攻撃グループとの関連を示す証拠は見つかっておらず、ローテーションするプロキシなど分散的なインフラを使った、自動化されたスキャン・攻撃であるとみられています。
対応策
Bricksforgeをお使いの場合は、まずバージョンを3.1.8.10以降（開発元の最新版は4.0.1）へ速やかに更新してください。
更新が難しい場合は、安全が確認できるまでプラグインを一時的に無効化することも検討してください。
また、既に悪用された形跡がないかを確認するため、サイトの「/wp-content/uploads/bricksforge/tmp/」ディレクトリ内に見覚えのないPHPファイルが置かれていないか、見覚えのない管理者アカウントが追加されていないかを確認することをおすすめします。
不審な点が見つかった場合は、侵害前の正常なバックアップからの復元や、関連するパスワードの変更を検討してください。
自社で開発・保守を依頼している制作会社がある場合は、対応状況の確認を依頼するのも一つの方法です。
なお、本件は報道時点でも被害範囲の全体像が明らかになっていない段階であり、状況が変化し得ます。最新の情報は開発元の公式発表や、下記の参照元を直接ご確認いただくことをおすすめします。
参照元
- Patchstack: Critical Unauthenticated Arbitrary File Upload Vulnerability Exploited in Bricksforge Plugin
- The Hacker News: Attackers Exploit CVSS 10.0 Bricksforge WordPress Flaw Enabling Unauthenticated RCE
- eSecurity Planet: Bricksforge CVE-2026-85097: Fix Critical RCE Flaw
- SC World: Critical Bricksforge WordPress flaw exploited in attacks
Hikosachiについて
Hikosachiは、WordPressサイトを標的としたサイバー攻撃を検知・遮断するセキュリティサービスです。本件のような未認証のファイルアップロード攻撃についても、不審なアクセスパターンの検知・遮断にお役立ていただけます。
サイトのセキュリティ対応に不安がある場合は、WordPressの保守・開発を専門とするアイネクシオ合同会社へのご相談もご検討ください。
