Höher geht die Skala nicht. Eine Sicherheitslücke im beliebten WordPress-Erweiterungspaket Bricksforge hat die volle CVSS-Wertung von 10,0 bekommen — und wird bereits aktiv ausgenutzt. Wer den Bricks Builder mit Bricksforge betreibt, sollte diesen Artikel nicht erst nach dem Kaffee lesen.
WAS GENAU KAPUTT IST
Die Lücke trägt die Kennung CVE-2026-85097 und steckt in der Datei-Upload-Funktion von Bricksforge, einer populären Zusatz-Erweiterung für den visuellen Page-Builder Bricks Builder. Der Fehler liegt im Parameter „temporaryFileUploads“: Beim Hochladen prüft das Plugin zunächst korrekt den Dateityp — vertraut danach aber ungeprüft den vom Angreifer selbst mitgeschickten Metadaten, speziell einem „url“-Feld. Damit lässt sich eine harmlos aussehende Bild-Datei (GIF oder PNG mit eingebettetem PHP-Code) hochladen und anschließend über die Metadaten so umbenennen, dass daraus eine ausführbare PHP-Datei wird.
Der Clou — und der Grund für die Höchstwertung: Keine Anmeldung nötig. Der Angriff läuft unauthentifiziert, ohne Benutzerkonto, ohne jede Interaktion eines echten Nutzers. Wer die URL kennt, kommt durch.
GEFAHR! Die Angriffe laufen bereits
Der Sicherheitsdienstleister Patchstack meldet, dass die erste beobachtete Ausnutzung am 7. Oktober 2026 um 21:47 Uhr UTC registriert wurde — nur Stunden, bevor die Lücke öffentlich bekannt wurde. Die Angriffe laufen über Anfragen an den Endpunkt „/wp-json/bricksforge/v1/form_submit“ mit manipuliertem „temporaryFileUploads“-Parameter.
Erkennbare Spuren eines Befalls (IOCs):
- POST-Anfragen an /wp-json/bricksforge/v1/form_submit
- Dateien mit Bild-Endung, deren Inhalt nicht zur Endung passt
- Verdächtige PHP-Dateien im Ordner /wp-content/uploads/bricksforge/tmp/, teils mit Mustern wie login_admin_*.php
WER ÜBERHAUPT BETROFFEN IST
Betroffen sind alle Installationen mit Bricksforge bis einschließlich Version 3.1.8.9. Bricksforge ist kein Nischenprodukt — es gehört zu den meistgenutzten Erweiterungspaketen für den Bricks Builder und bringt unter anderem zusätzliche Formular-, Animations- und Automatisierungsfunktionen mit. Wer Bricks Builder nutzt, aber Bricksforge nicht installiert hat, ist von dieser konkreten Lücke nicht betroffen.
SO RETTEST DU DEINE SEITE — in 5 MINUTEN
Der Hersteller hat bereits reagiert:
- Update auf Bricksforge 3.1.8.10 oder neuer — das schließt die Lücke vollständig.
- Uploads-Ordner prüfen: Suche gezielt im Verzeichnis /wp-content/uploads/bricksforge/tmp/ nach unerwarteten PHP-Dateien.
- Server-Logs durchsuchen nach Zugriffen auf den Endpunkt form_submit mit ungewöhnlichen Parametern seit dem 7. Oktober.
- Im Zweifel: Admin-Passwörter und API-Schlüssel rotieren, falls verdächtige Dateien gefunden wurden.
FAZIT: DIE 10,0 IST KEIN ZUFALL
Unauthentifizierter Datei-Upload mit Codeausführung ist einer der gefährlichsten Lückentypen überhaupt — die Höchstwertung spiegelt das korrekt wider. Wer Bricksforge einsetzt und seit dem 7. Oktober nicht aktualisiert hat, sollte das vor allem anderen heute noch erledigen.