Bricksforge CVE-2026-85097 bị khai thác, chiếm quyền site WordPress

Thêm một plugin WordPress cao cấp trở thành mục tiêu tấn công tự động. Lỗ hổng CVE-2026-85097 trong Bricksforge, bộ tiện ích mở rộng cho theme Bricks Builder, cho phép người lạ chưa đăng nhập tải tệp lên máy chủ và chạy mã PHP. Patchstack bắt đầu ghi nhận các đợt khai thác từ tối 7/10/2026, chỉ khoảng một ngày trước khi mã CVE được công bố.

Tóm tắt nhanh

• Ai bị ảnh hưởng: website WordPress cài Bricksforge bản 3.1.8.9 trở về trước. Patchstack ước tính khoảng 6.000 lượt cài đặt đang hoạt động.
• Mức độ: nghiêm trọng. Patchstack chấm CVSS 10.0, Wordfence và SecurityWeek ghi 9.8. Lỗi thuộc nhóm CWE-434 (tải tệp nguy hiểm không bị giới hạn).
• Đã bị khai thác chưa: có. Patchstack ghi nhận các lần thử khai thác đầu tiên lúc 21:47 UTC ngày 7/10/2026.

Lỗ hổng nằm ở đâu

Lỗi nằm trong module Pro Forms của Bricksforge, phần xử lý biểu mẫu trên giao diện người dùng. Vì không kiểm tra đúng loại tệp và quyền của người gửi, kẻ tấn công có thể đưa một tệp PHP lên máy chủ rồi gọi tệp đó để chạy lệnh dưới quyền của tiến trình PHP. Trên WordPress, như vậy gần như đồng nghĩa với việc mất quyền kiểm soát toàn bộ site: đọc wp-config.php, lấy thông tin cơ sở dữ liệu, tạo tài khoản quản trị và cài backdoor.

Lỗi được nhà nghiên cứu có biệt danh d.v4n_s3c báo cáo. Mã CVE được công bố ngày 8/10.

Diễn biến khai thác

Theo SecurityWeek, Patchstack thấy hai cụm tấn công. Cụm thứ nhất gồm 44 địa chỉ IP gửi 56 yêu cầu có payload giống hệt nhau trong vòng vài giây. Cụm thứ hai gồm ba IP thử 25 biến thể đuôi tệp PHP và cách mã hóa khác nhau nhắm vào cùng một tệp tạm. Một số nguồn khác dẫn số liệu Patchstack cho biết có 63 IP nguồn riêng biệt. Patchstack đánh giá đây là hoạt động khai thác tự động, nhiều khả năng chạy qua proxy xoay vòng, và không quy cho một nhóm cụ thể nào.

Phiên bản bị ảnh hưởng và phiên bản vá

Các nguồn chưa thống nhất về số hiệu bản mới nhất. Cách an toàn nhất là cập nhật lên phiên bản mới nhất hiện có trong tài khoản Bricksforge của bạn.

Kiểm tra phiên bản và dấu hiệu bất thường

Nếu máy chủ có WP-CLI, bạn chạy trong thư mục gốc của WordPress:

# Xem phiên bản Bricksforge
wp plugin list --name=bricksforge --fields=name,status,version

# Danh sách tài khoản quản trị, chú ý tài khoản lạ mới tạo
wp user list --role=administrator --fields=ID,user_login,user_registered

# Tìm tệp PHP trong thư mục uploads (thư mục này bình thường không chứa PHP)
find wp-content/uploads -type f -name "*.php*" -ls

# Tệp PHP bị sửa trong 20 ngày gần đây
find . -type f -name "*.php" -mtime -20 -not -path "./wp-content/cache/*" -ls

Xem log truy cập để tìm các yêu cầu POST lạ dồn dập từ ngày 7/10 trở đi:

# Đếm các IP gửi nhiều yêu cầu POST nhất
grep "\"POST " /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head -n 20

# Tìm truy cập trực tiếp tới tệp PHP trong uploads
grep -E "wp-content/uploads/.*\.php" /var/log/nginx/access.log | tail -n 50

Đường dẫn log thay đổi tùy máy chủ (Apache, LiteSpeed, cPanel). Trên shared hosting, bạn xem mục "Raw Access" hoặc "Metrics" trong panel.

Việc cần làm ngay

Với chủ VPS và quản trị nhiều site

1. Rà tất cả site WordPress trên máy chủ để tìm Bricksforge, rồi cập nhật lên 3.1.8.10 hoặc bản mới nhất.
2. Chặn thực thi PHP trong wp-content/uploads ở cấu hình Nginx hoặc Apache.
3. Nếu chưa cập nhật được ngay, tạm tắt plugin. Patchstack cũng có quy tắc vá ảo (RapidMitigate) cho lỗi này.
4. Site đã chạy bản lỗi sau ngày 7/10 cần được xem như có thể đã bị xâm nhập: quét mã độc, so sánh mã nguồn với bản gốc, kiểm tra cron và tài khoản admin.
5. Đổi mật khẩu cơ sở dữ liệu, tạo lại salt trong wp-config.php và đổi mật khẩu quản trị nếu phát hiện dấu hiệu bất thường.

Với khách hàng shared hosting

• Vào Plugins trong trang quản trị WordPress, kiểm tra phiên bản Bricksforge và cập nhật. Bricksforge là plugin trả phí, nên bạn có thể cần nhập license để nhận bản mới.
• Dùng File Manager trong cPanel hoặc DirectAdmin để xem thư mục uploads có tệp .php lạ không.
• Nếu nghi ngờ bị xâm nhập, hãy báo nhà cung cấp hosting và yêu cầu bản sao lưu trước ngày 7/10.

Nguồn tham khảo

• SecurityWeek: Bricksforge WordPress Plugin Vulnerability Exploited in the Wild
• The Hacker News: Attackers Exploit CVSS 10.0 Bricksforge WordPress Flaw Enabling Unauthenticated RCE
• SOCRadar: Bricksforge CVE-2026-85097 exploited
• eSecurityPlanet: Vulnérabilité CVE-2026-85097 de Bricksforge