WordPressのプラグイン「Bricksforge」に重大な脆弱性、認証不要でサイト乗っ取りの恐れ-CVE-2026-85097|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月14日更新日時: 2026年10月14日

WordPress向け有料プラグイン「Bricksforge」に、ログインせずに任意のファイルをアップロードできる重大な脆弱性「CVE-2026-85097」が確認されました。WordPress向けセキュリティ企業Patchstackは2026年10月8日、攻撃者が脆弱性を悪用しようとする通信を10月7日から実際に観測していると公表しました。

この問題を悪用されると、攻撃者がWebサーバー上に不正なPHPファイルを配置・実行し、サイトの改ざん、機密情報の取得、継続的な不正アクセスなどにつながるおそれがあります。3系ではバージョン3.1.8.9以前が影響対象で、3.1.8.10で修正されています。開発元は4系でも10月8日に「4.0.1」を公開し、フォームのファイルアップロードに関するセキュリティ修正を案内しています。

Bricksforgeの脆弱性と悪用状況のサマリー

対象は、WordPressのページ作成ツール「Bricks Builder」に機能を追加するプラグイン「Bricksforge」です。
脆弱性識別子はCVE-2026-85097。危険な種類のファイルを制限せずアップロードでき、PHPコードの実行につながります。
WordfenceはCVSS v3.1を9.8、Patchstackは深刻度スコアを10.0と評価しています。
攻撃にWordPressへのログインは不要です。
3系の影響対象は3.1.8.9以前、修正版は3.1.8.10です。4系では開発元が4.0.1のセキュリティ修正を公表しています。
Patchstackによる攻撃試行の初観測は10月7日21時47分（UTC、日本時間10月8日6時47分）です。
開発元は、フォームにファイル添付欄がなくても「Pro Forms」が有効なサイトは影響対象になると説明しています。
Patchstackは攻撃試行の遮断ルールを展開済みですが、修正版への更新を推奨しています。

項目	内容
対象製品	Bricksforge（WordPressプラグイン）
CVE	CVE-2026-85097
種類	認証不要の任意ファイルアップロード、リモートコード実行（RCE）
深刻度	CVSS v3.1：9.8（Wordfence）、10.0（Patchstackの評価）
影響バージョン	3系：3.1.8.9以前。4系は開発元が4.0.1でセキュリティ修正を案内
修正版	3系：3.1.8.10、4系：4.0.1
攻撃状況	2026年10月7日から実際の悪用試行を観測
対応	修正版へ更新し、過去のWebアクセスログと不審ファイルを調査

原因はアップロード済みファイルのメタデータ検証不足

Bricksforgeは、WordPress向けのビジュアルサイト構築ツール「Bricks Builder」に高度なフォーム、アニメーション、動的データ管理、管理画面カスタマイズなどの機能を追加するプラグインです。

Patchstackの解析によると、問題があったのは「Pro Forms」のファイル処理機能です。ファイルの初回アップロード時には種類を確認していましたが、その後にフォームが送信された際、ブラウザー側から渡されるファイルの保存先情報を十分に検証していませんでした。このため、画像ファイルとして受け付けられた内容が、最終的にPHPとして実行できる場所へ保存される可能性がありました。

攻撃が成立すると、管理者の認証情報がなくてもサーバー上でPHPコードを動作させられます。WordPressの投稿や設定の改ざんに加え、設置された不正プログラムを通じてアクセスを維持される危険があります。

開発元の変更履歴には、2026年10月8日公開の4.0.1について、Pro Formsを有効化したサイトはファイル添付欄を使用していなくても修正対象になると明記されています。フォームにアップロード機能を設けていないという理由だけで、影響対象から除外することはできません。

Patchstackが63の送信元IPを観測、ファイル拡張子を変える試行も

Patchstackが公開した観測結果では、攻撃者はBricksforgeのフォーム送信処理を狙い、PHPファイルの配置につながる不正なアップロード情報を送信していました。同社は63の送信元IPアドレスを確認し、複数のアドレスが同一内容を短時間に送信するパターンや、ファイル拡張子・エンコード方式を変えて動作を試すパターンを報告しています。

具体的には、44のIPアドレスから56件の同一形式のリクエストが短時間に発生したほか、別の3つのIPアドレスからは25種類の拡張子・エンコードの変形を試す通信が観測されました。同社は自動化された攻撃の特徴を指摘する一方、これらの通信を単一の攻撃者に帰属させる証拠とはしていません。

この数字は、攻撃通信の送信元やリクエストの観測数です。63のサイトが侵害されたことや、実際に何件のサイト乗っ取りが成立したことを意味するものではありません。PatchstackはBricksforgeの利用規模を約6,000サイトと説明していますが、これも侵害件数ではありません。

修正版への更新と、過去ログの確認が必要

Bricksforge利用サイトの管理者は、使用しているプラグインの系統とバージョンを確認し、3系なら3.1.8.10以上、4系なら4.0.1以上の修正済みバージョンに更新します。Bricksforgeは有料プラグインのため、委託先の制作会社や保守事業者がライセンスと更新を管理している場合は、実際の適用結果まで確認する必要があります。

Patchstackは、過去に脆弱なバージョンを使用していたサイトについて、次の痕跡を確認するよう案内しています。

Bricksforgeのフォーム送信に関連するREST APIやAjaxへの不自然な大量アクセス
フォームの一時ファイル情報に、画像ファイルとPHPファイルの不自然な組み合わせが含まれる通信
wp-content/uploads/bricksforge/tmp/ や通常のアップロードフォルダー内に作成された見覚えのないPHPファイル
アップロードフォルダーの新規PHPファイルに対するアクセス記録
管理者アカウントやWordPressの設定、テーマ・プラグインファイルの意図しない変更

Patchstackは脆弱性を遮断するルールを用意していますが、WAFや仮想パッチによる通信遮断だけで更新作業が不要になるわけではありません。不審なPHPファイルなどが見つかった場合は、ファイルを削除するだけでなく、管理者アカウントやサーバー側のアクセス権限を含めて侵害の有無を調査する必要があります。

WordPress本体を最新にしていても、個別プラグインの脆弱性は残り得ます。保守対象サイトごとのプラグイン構成、管理者権限、更新担当者を把握したうえで、実際に悪用されている脆弱性を優先する脆弱性管理の運用が必要です。