Phân tích lỗ hổng RCE nghiêm trọng CVE-2026-85097 trong plugin Bricksforge

• Lỗ hổng nghiêm trọng: CVE-2026-85097 với điểm CVSS 10.0 cho phép thực thi mã từ xa (RCE).
• Cơ chế khai thác: Kẻ tấn công lợi dụng quy trình xử lý file upload không an toàn để chèn mã độc PHP.
• Phiên bản bị ảnh hưởng: Tất cả các phiên bản Bricksforge từ 3.1.8.9 trở về trước.
• Khuyến nghị: Cập nhật ngay lập tức lên phiên bản 3.1.8.10 hoặc mới hơn để vá lỗi.

Các chuyên gia an ninh mạng vừa đưa ra cảnh báo khẩn cấp về một lỗ hổng bảo mật nghiêm trọng trong plugin Bricksforge dành cho WordPress. Lỗ hổng này, được định danh là CVE-2026-85097, cho phép kẻ tấn công thực thi mã PHP tùy ý trên các trang web bị ảnh hưởng mà không cần xác thực. Với điểm số CVSS 10.0, đây là một rủi ro cực kỳ cao đối với các quản trị viên hệ thống.

Phân tích kỹ thuật về lỗ hổng CVE-2026-85097

Theo báo cáo từ các nhà nghiên cứu bảo mật, lỗ hổng nằm ở quy trình xử lý file upload của plugin Bricksforge. Plugin này vốn được thiết kế để mở rộng khả năng của Bricks Builder thông qua các biểu mẫu nâng cao và công cụ dữ liệu động. Tuy nhiên, cơ chế kiểm tra MIME type ban đầu của plugin đã bị vượt qua một cách dễ dàng.

Kẻ tấn công thực hiện khai thác bằng cách gửi một file có vẻ ngoài là định dạng hình ảnh (như .gif hoặc .png) nhưng thực chất chứa mã PHP độc hại. Plugin thực hiện kiểm tra MIME type ban đầu và chấp nhận file này vào thư mục tạm. Sau đó, thông qua một yêu cầu gửi biểu mẫu (form submission) được chế tạo đặc biệt, kẻ tấn công có thể ép buộc hệ thống di chuyển file này đến một đích đến có phần mở rộng là .php.

Chi tiết chuỗi tấn công

Quá trình khai thác thường nhắm vào các endpoint như /wp-json/bricksforge/v1/form_submit hoặc /wp-admin/admin-ajax.php với action bricksforge_form_submit. Kẻ tấn công lợi dụng việc plugin tin tưởng vào các chi tiết file do người dùng cung cấp trong tham số temporaryFileUploads mà không kiểm tra kỹ lưỡng đường dẫn URL.

Sau khi file PHP được đặt tại vị trí mong muốn, kẻ tấn công chỉ cần gửi một yêu cầu HTTP đến file đó để kích hoạt mã độc. Điều này dẫn đến việc cài đặt web shells, đánh cắp dữ liệu nhạy cảm hoặc chiếm quyền điều khiển toàn bộ trang web.

Dấu hiệu nhận biết và săn tìm mối đe dọa

Các nhà nghiên cứu đã ghi nhận nhiều nỗ lực khai thác tự động từ hàng chục địa chỉ IP khác nhau. Các kỹ thuật né tránh bao gồm việc sử dụng các phần mở rộng file biến thể như .php5, .php8, .phtml hoặc mã hóa tên file. Để phát hiện các dấu hiệu xâm nhập, quản trị viên cần thực hiện các bước sau:

• Kiểm tra nhật ký truy cập (Access Logs): Tìm kiếm các yêu cầu bất thường gửi đến /wp-json/bricksforge/v1/form_submit.
• Rà soát thư mục tạm: Kiểm tra thư mục /wp-content/uploads/bricksforge/tmp/ để phát hiện các file PHP lạ.
• Giám sát hành vi: Theo dõi các yêu cầu đến các file script mới được tạo ra trong thư mục upload.

⚠️ Cảnh báo quan trọng: Nếu trang web của bạn đã từng bị phơi nhiễm, hãy thực hiện quy trình kiểm tra thỏa hiệp (compromise review) toàn diện để đảm bảo không có mã độc hoặc cửa hậu (backdoor) nào còn tồn tại trong hệ thống.

Khuyến nghị phòng thủ và khắc phục

Giải pháp tối ưu nhất là cập nhật plugin lên phiên bản 3.1.8.10 ngay lập tức. Ngoài ra, nhà cung cấp cũng khuyến cáo cập nhật lên phiên bản 4.0.1 để nhận thêm các bản vá bảo mật cho tính năng Pro Forms. Đối với các hệ thống chưa thể cập nhật ngay, các quy tắc tường lửa ứng dụng web (WAF) như RapidMitigate có thể được sử dụng để chặn các nỗ lực khai thác tạm thời. Bạn có thể tham khảo thêm thông tin chi tiết tại National Vulnerability Database để nắm bắt các cập nhật mới nhất về lỗ hổng này.