Bricksforge ha publicado la versión 4.0.2 con controles de seguridad más estrictos en sus endpoints REST. La actualización llega después de que Patchstack detectara intentos de explotación contra una vulnerabilidad crítica del complemento que permitía subir y ejecutar PHP sin iniciar sesión en sitios WordPress vulnerables. El fallo, registrado como CVE-2026-85097, afecta a Bricksforge hasta la versión 3.1.8.9; el proveedor indica que quedó corregido en 3.1.8.10 y 4.0.0. Además, su changelog documenta otra corrección de seguridad en Pro Forms en la versión 4.0.1.
La novedad de este martes, 13 de octubre, es la versión 4.0.2: Bricksforge dice que ha revisado varios endpoints REST relacionados con formularios, CAPTCHA, campos obligatorios, plantillas y acceso a medios. No es una alerta de que todas las webs WordPress estén comprometidas, ni afecta a quienes no usan el complemento. Sí es un recordatorio urgente para administradores que tengan Bricksforge instalado, en especial si no saben qué versión ejecutan.
Qué cambia con Bricksforge 4.0.2
El changelog oficial de Bricksforge fecha la versión 4.0.2 el 13 de octubre de 2026. Entre sus cambios de seguridad, el proveedor afirma que ha endurecido varios endpoints REST del complemento: el envío de formularios, la verificación de CAPTCHA, la validación de campos obligatorios, la representación de plantillas y el acceso a medios.
La actualización también cambia los permisos de algunas operaciones. Consultar los envíos de formularios requiere ahora una cuenta con nivel de editor, mientras que borrar la tabla de envíos queda reservado a administradores. El changelog indica que ambos requisitos se pueden ajustar mediante filtros si una web delega esas tareas de otra forma.
La misma versión corrige un falso positivo que podía rechazar aproximadamente una de cada sesenta imágenes normales. Bricksforge asegura que las imágenes legítimas vuelven a cargarse con normalidad y que los archivos que contienen código siguen bloqueados. También añade protección propia a la carpeta temporal de Pro Forms para impedir que se ejecuten archivos desde esa ubicación.
El fallo crítico permitía llegar a ejecución de código
CVE-2026-85097 afecta a Bricksforge hasta la versión 3.1.8.9, según la ficha del registro oficial de CVE, cuyo CNA es Wordfence. La descripción técnica señala una validación insuficiente del campo url dentro del parámetro temporaryFileUploads al enviar un formulario. Wordfence asigna al problema una puntuación CVSS 3.1 de 9,8, considerada crítica.
En términos sencillos, el complemento comprobaba el tipo de archivo en una etapa del proceso, pero confiaba después en metadatos enviados por el cliente durante el envío. Eso podía permitir que una carga temporal validada como imagen terminara asociada a una ruta ejecutable en PHP. Un atacante remoto sin cuenta podía encadenar las peticiones necesarias y, si el servidor interpretaba el archivo como código, ejecutar comandos con los permisos de la web.
El impacto potencial va más allá de que una página muestre contenido extraño: la ejecución de código en el servidor puede dar acceso a archivos y datos del sitio, permitir cambios en sus páginas o facilitar la instalación de mecanismos de acceso persistente. La explotación requiere que la instalación tenga el complemento vulnerable y que el servidor acepte la ruta preparada; no significa que cada web con WordPress esté expuesta por defecto.
Patchstack observó ataques desde el 7 de octubre
La parte que eleva el riesgo es que no se trata solo de una posibilidad teórica. Patchstack, que monitoriza tráfico de ataques contra webs que protege, afirma que observó intentos de explotación desde el 7 de octubre de 2026 a las 21:47 UTC. Su análisis de la campaña describe peticiones automatizadas y variantes que cambian extensiones y nombres de archivo para intentar sortear filtros.
Patchstack también apunta a solicitudes dirigidas al endpoint de envío de formularios de Bricksforge y a archivos PHP inesperados en directorios de carga. Sus datos reflejan lo que vio su telemetría: no identifican por sí solos a un único grupo atacante ni permiten saber cuántos sitios fueron comprometidos. La distinción importa: observar intentos confirma actividad maliciosa, pero no demuestra que cada petición haya tenido éxito.
La vulnerabilidad figura como corregida en Bricksforge 3.1.8.10 y 4.0.0. El aviso de Patchstack recomienda actualizar como mínimo a 3.1.8.10 para cerrar CVE-2026-85097. Después, el propio proveedor publicó otra corrección de seguridad en 4.0.1: su nota indica que afectaba a cualquier sitio con Pro Forms activo, incluso si sus formularios no tenían campos de subida, y recomienda actualizar. La versión 4.0.2 es la revisión más reciente que aparece en el changelog oficial consultado el 13 de octubre.
Qué deberían hacer los administradores
- Comprueba si Bricksforge está instalado y activo. En el escritorio de WordPress, abre Plugins y anota la versión; tener Bricks Builder no significa automáticamente tener también Bricksforge.
- Actualiza desde el canal oficial. Si tu instalación está en la rama 4.x, el changelog ya muestra la versión 4.0.2. En instalaciones antiguas de la rama 3.x, no asumas que todas las correcciones posteriores están incluidas en el parche de CVE: consulta las actualizaciones que ofrece el proveedor para tu licencia y versión.
- Haz una copia de seguridad y verifica el sitio después. Comprueba que formularios, CAPTCHA y cargas legítimas siguen funcionando. La 4.0.2 corrige un falso positivo que afectaba a algunas imágenes, así que conviene probar las rutas que utiliza tu web.
- Si no puedes actualizar de inmediato, reduce la exposición. Desactiva temporalmente Pro Forms o Bricksforge si es viable para el sitio y confirma con tu proveedor de alojamiento si dispone de una regla de mitigación. No trates una regla de firewall como sustituto permanente del parche.
- Si el sitio ejecutó una versión vulnerable, revisa posibles indicios de intrusión. Busca archivos PHP inesperados en
wp-content/uploads/bricksforge/tmp/y otras carpetas de carga, cuentas de administrador que no reconozcas, cambios de archivos y peticiones sospechosas en los registros. Si encuentras señales, conserva los logs y pide ayuda a tu alojamiento o a un profesional: actualizar cierra la vía conocida, pero no limpia una web que ya haya sido comprometida.
No es una vulnerabilidad de WordPress en sí
Conviene separar el núcleo de WordPress del complemento afectado. CVE-2026-85097 corresponde a Bricksforge, un añadido para Bricks Builder que ofrece formularios, animaciones y otras funciones dinámicas. La exposición depende de que la web lo tenga instalado en una versión afectada; las webs sin Bricksforge no necesitan aplicar este parche concreto.
La secuencia de actualizaciones sí merece atención: primero se corrigió la subida de archivos que podía terminar en ejecución de PHP; después el proveedor publicó otra corrección para Pro Forms y, el 13 de octubre, documentó un endurecimiento más amplio de los endpoints REST. Para quien administra una web, la respuesta más útil es comprobar la versión exacta, aplicar el paquete que recomienda Bricksforge y revisar registros si el sitio estuvo expuesto durante la ventana vulnerable.
Fuentes
- Bricksforge: changelog oficial de las versiones 4.0.2 y 4.0.1.
- CVE.org / Wordfence: ficha CVE-2026-85097.
- Patchstack: actividad de explotación observada y recomendaciones de mitigación.
Imagen de portada: ilustración editorial generada con IA para Bytecora; no representa una captura real de Bricksforge ni de una web atacada.
