Phân tích lỗ hổng thực thi mã từ xa CVE-2026-85097 trong plugin Bricksforge

Các chuyên gia an ninh mạng vừa đưa ra cảnh báo khẩn cấp về một lỗ hổng bảo mật nghiêm trọng trong plugin Bricksforge dành cho nền tảng WordPress, đe dọa trực tiếp đến sự an toàn của các hệ thống trực tuyến.

Chi tiết về lỗ hổng và cơ chế khai thác

Lỗ hổng bảo mật này được định danh quốc tế là CVE-2026-85097, sở hữu điểm số CVSS tuyệt đối 10.0, cho thấy mức độ rủi ro cực kỳ cao đối với các quản trị viên hệ thống. Theo báo cáo từ các nhà nghiên cứu bảo mật, điểm yếu nằm ở quy trình xử lý tệp tải lên của plugin Bricksforge vốn được thiết kế để mở rộng khả năng của Bricks Builder thông qua các biểu mẫu nâng cao và công cụ dữ liệu động. Tuy nhiên, cơ chế kiểm tra định dạng MIME ban đầu của plugin đã bị vượt qua một cách dễ dàng.

Kẻ tấn công thực hiện hành vi khai thác bằng cách gửi một tệp thoạt nhìn có định dạng hình ảnh như .gif hoặc .png nhưng bên trong thực chất chứa mã PHP độc hại. Plugin thực hiện kiểm tra ban đầu và chấp nhận tệp này vào thư mục tạm. Sau đó, thông qua một yêu cầu gửi biểu mẫu được chế tạo đặc biệt, kẻ tấn công ép buộc hệ thống di chuyển tệp đến một đích đến có phần mở rộng .php.

Các endpoint mục tiêu và hậu quả

Quá trình khai thác thường nhắm trực tiếp vào các điểm cuối như /wp-json/bricksforge/v1/form_submit hoặc /wp-admin/admin-ajax.php với tham số hành động tương ứng. Kẻ xấu lợi dụng việc plugin quá tin tưởng vào các chi tiết tệp do người dùng cung cấp trong tham số temporaryFileUploads mà thiếu đi bước kiểm tra đường dẫn URL một cách chặt chẽ.

Ngay sau khi tệp PHP độc hại được đặt thành công tại vị trí mong muốn, kẻ tấn công chỉ cần gửi một yêu cầu HTTP đơn giản đến tệp đó để kích hoạt mã độc. Hệ quả là tin tặc có thể cài đặt mã độc dạng web shell, đánh cắp các dữ liệu nhạy cảm của người dùng hoặc chiếm đoạt toàn bộ quyền kiểm soát trang web.

Biện pháp phòng ngừa và khắc phục

Các nhà nghiên cứu đã ghi nhận nhiều nỗ lực quét và khai thác tự động xuất phát từ hàng chục địa chỉ IP khác nhau trên không gian mạng. Các kỹ thuật né tránh hệ thống phòng thủ bao gồm việc sử dụng các phần mở rộng biến thể như .php5, .php8, .phtml hoặc thực hiện mã hóa tên tệp.

Giải pháp tối ưu và nhanh chóng nhất được nhà phát triển đưa ra là tiến hành cập nhật plugin Bricksforge lên phiên bản 3.1.8.10 ngay lập tức. Bên cạnh đó, người dùng cũng được khuyến cáo nâng cấp lên phiên bản 4.0.1 để nhận thêm các bản vá bảo mật quan trọng dành cho tính năng Pro Forms. Đối với những hệ thống chưa thể áp dụng bản vá ngay lập tức, việc sử dụng các quy tắc tường lửa ứng dụng web như RapidMitigate có thể giúp ngăn chặn tạm thời các nỗ lực xâm nhập từ bên ngoài.