Atacantes están explotando un fallo crítico (CVE-2026-85097) del plugin Bricksforge para WordPress que permite ejecutar código en la web sin autenticarse. Afecta a webs hechas con Bricks que usan Bricksforge hasta la versión 3.1.8.9. Actualiza hoy a la 3.1.8.10 o superior y revisa si tu web se comprometió desde el 7 de octubre.
Lo esencial
- CVE-2026-85097 tiene un CVSS de 10.0 según The Hacker News y de 9.8 según SecurityWeek. Las dos fuentes coinciden: es crítico y no requiere autenticación.
- Afecta a Bricksforge hasta la 3.1.8.9 incluida. El parche llegó en la 3.1.8.10, y The Hacker News recomienda la última versión, la 4.0.1.
- Patchstack detectó los primeros intentos de explotación el 7 de octubre de 2026 a las 21:47 UTC.
- Bricksforge es un complemento comercial para el constructor visual Bricks. Patchstack lo sitúa en unos 6.000 sitios web.
- Patchstack registró grupos de 44 IP que enviaron 56 peticiones con cargas idénticas, un patrón de explotación automatizada.
¿Me afecta si mi web está hecha con WordPress?
Solo si tu web usa el constructor Bricks y además tiene instalado Bricksforge. Usar WordPress, por sí solo, no te expone a este fallo.
El problema es que muchas empresas no saben qué plugins lleva su web. Si la hizo una agencia o un freelance, es probable que tú no lo hayas mirado nunca. La web corporativa, la tienda online o una landing de campaña pueden estar afectadas por igual.
¿Qué puede hacer un atacante con esto?
Según The Hacker News, el ataque pide un nonce a un endpoint AJAX que no exige autenticación y sube un archivo políglota, a la vez GIF y PHP. Después envía un formulario cuya URL termina en extensión PHP. Bricksforge confía en esos metadatos y ejecuta el código cuando alguien solicita el archivo.
El resultado es el control de la web: el atacante puede desplegar web shells, leer datos sensibles y mantener acceso persistente. Si tu web guarda formularios de contacto, pedidos o cuentas de clientes, eso incluye datos personales.
Los patrones que vio Patchstack apuntan a proxies rotativos o infraestructura distribuida. Nadie está eligiendo víctimas: se rastrea todo lo que tenga el plugin.
Qué hacer hoy
- Entra en el panel de WordPress y revisa la lista de plugins. Busca Bricksforge.
- Si lo tienes, actualízalo a la 3.1.8.10 o superior. Lo ideal es la 4.0.1, la última versión que cita The Hacker News.
- Si no puedes actualizar ya, desactiva el plugin hasta hacerlo.
- Revisa los logs del servidor. Busca peticiones a
/wp-json/bricksforge/v1/form_submitcon el parámetrotemporaryFileUploadsy envíos repetidos de formularios. - Busca archivos PHP inesperados en
/wp-content/uploads/bricksforge/tmp/. - Si encuentras algo sospechoso, cambia las credenciales de administrador y las claves de la base de datos.
- Escribe hoy a quien mantiene tu web y pregúntale qué plugins usa y quién los actualiza.
Qué significa para una pyme
Actualizar no basta. Los ataques empezaron el 7 de octubre y el parche ya existía, pero muchas webs no se actualizan solas. Si tu sitio tenía una versión vulnerable durante estos días, tienes que asumir que pudo comprometerse y comprobarlo en los logs.
Que el plugin esté en unos 6.000 sitios no te da tranquilidad. Con explotación automatizada, el tamaño de tu empresa no importa: el escáner no sabe quién eres.
El fallo de fondo suele ser organizativo. La web se encarga a una agencia, se entrega y nadie queda a cargo de los plugins. Si tu contrato de mantenimiento no dice quién aplica actualizaciones de seguridad y en qué plazo, hoy es buen día para escribirlo. Si no tienes a nadie que pueda revisar logs o limpiar una web comprometida, busca apoyo externo en ciberseguridad antes de necesitarlo con urgencia.
Una aclaración honesta: no hemos podido consultar el aviso original de Patchstack. Los datos proceden de dos medios especializados que lo citan, y difieren en la puntuación CVSS. La recomendación no cambia.
Preguntas frecuentes
¿Basta con actualizar Bricksforge?
No. La actualización cierra la puerta, pero si alguien entró antes puede haber dejado una web shell o acceso persistente. Revisa los logs y la carpeta tmp de Bricksforge.
¿Por qué hay dos puntuaciones CVSS distintas?
The Hacker News da un 10.0 y SecurityWeek un 9.8. Ambas son la franja más alta: el fallo es crítico y explotable sin autenticación.
¿Tengo que notificar algo si me atacaron?
Una web comprometida puede suponer una brecha de datos personales. Si es así, el RGPD puede obligarte a notificarla.
