新聞

資安公司Patchstack警告，他們於世界協調時間（UTC）10月7日晚間21時47分開始，發現WordPress網頁建構外掛Bricksforge任意檔案上傳漏洞CVE-2026-85097遭到積極利用，由於該漏洞的CVE編號在同一天公布，換言之，攻擊者在不到一天的時間裡，就將其用於實際活動，網站管理員應更新Bricksforge防範相關威脅。

針對遭到利用的CVE-2026-85097，形成的原因在於Bricksforge完全信任用戶端上傳檔案的中繼資料，雖然該外掛會驗證檔案的MIME類型，卻不會檢查參數裡的內容，使得攻擊者有機會在未經身分驗證的情況下，遠端於WordPress網站上傳及執行任意PHP程式碼，CVSS嚴重程度評分達到滿分10分（編按：登記CVE編號的資安公司Wordfence評為9.8分）影響3.1.8.9之前的Bricksforge，開發團隊發布3.1.8.10版修補。

Patchstack指出，大部分的漏洞利用嘗試都是針對Bricksforge的REST API而來，所有攻擊者發出的請求皆包含特製的參數，其中的金鑰簽章相當特別：伺服器端的路徑指向GIF或PNG圖檔，而URL卻指向PHP檔案。該公司偵測到兩波自動化活動，第一波由44個IP位址於幾秒內發送56個具備相同惡意酬載的請求；第二波由3個IP位址發出，攻擊者鎖定相同的暫存檔案，測試25種PHP延伸副檔名與編碼方式。