Bricksforge: критическая уязвимость с загрузкой PHP-файлов

Прочитал в рассылке Patchstack, что в плагине Bricksforge для WordPress нашли критическую уязвимость — неавторизованный загрузчик файлов с выполнением кода. Она позволяет злоумышленникам загружать PHP-файлы без пароля, используя обход проверки расширения через подмену метаданных. Уязвимость затрагивает версии до 3.1.8.9, активно эксплуатируется с 7 октября 2026 года, и уже используется для установки веб-шеллов. Исправлено в 3.1.8.10.

Считаю, что это не просто «ещё одна уязвимость» — это прямая дверь в сайт. Даже если у вас нет админки, боты её уже сканируют. Обход через полиглот-файл (GIF с PHP-кодом) и подмена URL — это не теория, а реальная схема, которая уже работает. Главное — не дать файлу попасть на сервер, а не искать его потом.

На мой взгляд, самое опасное — это автоматизация атак. Наблюдается координированный сканирование с разных IP, перебор расширений, кодировок, регистра. Это не случайные попытки, а боты, которые перебирают все варианты. Значит, если сайт уязвим — он будет найден и взломан за час.

Уже начал проверять всех клиентов с Bricksforge. У тех, кто не обновлён, поставил в план на эту неделю. У тех, кто на поддержке — автоматически закрываю через защитные правила. Считаю, что даже если не увидишь следов — уязвимость всё равно активна. История с веб-шеллами — это не про «взлом», а про то, как уязвимость становится точкой входа для всего остального.