WordPressi lisapluginas Bricksforge on kriitiline turvanõrkus, mida kasutatakse juba rünnetes. Selle kaudu saab igaüks ilma sisse logimata veebilehele oma koodi üles laadida ja käivitada. Viga on parandatud versioonis 3.1.8.10.
Mis juhtus?
Turvaettevõte Patchstack teatas 8. oktoobril, et Bricksforge’i turvanõrkust tähisega CVE-2026-85097 kasutatakse aktiivselt ära. Esimese ründekatse registreeris Patchstack 8. oktoobril kell 0.47 Eesti aja järgi.
Hinnangud raskusastmele erinevad veidi. Patchstack annab veale maksimaalse 10 punkti 10-st. Wordfence, kelle hinnang on turvanõrkuse ametlikus kirjes, annab raskusastmeks 9,8 punkti 10-st (CVSS v3.1). Mõlema järgi on tegu kriitilise veaga.
Bricksforge on tasuline plugin ehk pistikprogramm veebilehtede ehitamise tööriistale Bricks Builder. See lisab Bricksile vorme ja muid funktsioone. Tootja muudatuste logi järgi on viga parandatud versioonides 3.1.8.10 ja 4.0.0.
Kuidas rünne toimib?
Viga on vormide failide üleslaadimises. Plugin kontrollib küll faili tüüpi, kuid usaldab hiljem andmeid, mille saadab külastaja brauser. Nii saab ründaja üles laadida pildina näiva faili, mis sisaldab tegelikult PHP-koodi, ja tõsta selle kohta, kus server seda käivitab.
Ründeks vajalik ühekordne kontrollkood on kättesaadav ka sisse logimata. Seetõttu piisab ründajale sellest, et leht on internetis ja plugin on uuendamata.
Patchstacki andmetel tulid ründed 63 eri IP-aadressilt ning kuus kõige aktiivsemat saatsid ligi poole päringutest. Üks 44 aadressiga rühm saatis 56 ühesugust päringut, teine, kolmest aadressist koosnev rühm proovis sama ajutise faili peal 25 eri faililaiendit ja kodeeringut. Ründed on automatiseeritud ja neid ei seostata ühegi kindla rühmitusega.
Keda see puudutab?
Ohus on WordPressi lehed, kus on Bricksforge’i versioon 3.1.8.9 või vanem. Uuemas 4. harus parandas tootja 8. oktoobril ilmunud versioonis 4.0.1 vormide üleslaadimise turvavea. Tootja sõnul puudutab see iga lehte, kus vormide moodul Pro Forms on sisse lülitatud, ka siis, kui vormides üleslaadimise välja ei ole.
Bricksforge’i müüakse tootja enda veebilehel. Seega ei pruugi see uueneda samamoodi nagu WordPress.org-i kataloogist paigaldatud pluginad. Kui veebilehe tegi agentuur, ei pruugi te teadagi, kas see plugin on lehel olemas. Kontrollige ka, kas plugina litsents on aktiivne, sest muidu ei pruugi uuendused kohale jõuda.
Mida teha?
- Küsige veebilehe teinud agentuurilt või arendajalt, kas teie lehel on Bricksforge. Kui on, küsige ka selle versiooni.
- Uuendage Bricksforge versioonile 3.1.8.10 või uuemale. Kui kasutate 4. versiooni haru, paigaldage 4.0.1. Veebitulemüür, näiteks Patchstacki reegel, võib ründekatsed peatada, kuid uuendust see ei asenda.
- Laske kontrollida, kas serverisse on juba võõraid faile jäänud. Uuendus sulgeb augu, kuid ei eemalda faile, mis on sealt juba sisse toodud. Patchstack soovitab otsida PHP-faile kaustast
wp-content/uploads/bricksforge/tmp/ja teistest üleslaadimiskaustadest, eriti nimegalogin_admin_*.php. - Paluge arendajal üle vaadata serveri logid. Kahtlased on vormide saatmise päringud, milles pildifaili tee on seotud PHP-faili sihtkohaga.
- Kui leiate võõraid faile, eeldage, et lehele on sisse murtud. Taastage see puhtast varukoopiast, vahetage kõik paroolid ja teavitage CERT-EE-d aadressil cert@cert.ee. Vajadusel vaadake, kuidas me intsidendi korral aitame.
Kuidas selliseid vigu ennetada?
Bricksforge’i juhtum näitab tavalist ohtu: tasuline lisaplugin võib jääda uuendamata, kui keegi seda ei jälgi. Soovitame hoida nimekirja kõigist pluginatest, mis teie lehel on, ja leppida arendajaga kokku, kes neid uuendab.
Kui te ei tea, mis teie lehel töötab, saab selle välja selgitada veebilehe turvakontrolliga.
Allikad
- Patchstack: Critical Unauthenticated Arbitrary File Upload Vulnerability Exploited in Bricksforge Plugin
- NVD: CVE-2026-85097
- Bricksforge: Version changelog
Postituse koostamisel kasutasime tehisintellekti. Faktid põhinevad allpool loetletud allikatel ja on kirjutatud uudise ilmumise päeva teadmiste põhjal. Kuidas me tehisintellekti kasutame.
