WordPress向けプラグイン「Bricksforge」に、ログインせずにサーバー上で不正なプログラムを実行できる重大な脆弱性「CVE-2026-85097」が確認され、実際の悪用も報告されています。セキュリティ企業Patchstackは、2026年10月7日に攻撃を検知しました。攻撃が成功すると、Webサイトの乗っ取りや情報の不正取得につながるおそれがあります。さらに、別のWordPressプラグインを狙った攻撃も確認されており、サイト管理者には早急な更新と不正アクセスの調査が求められています。
The Hacker News：Attackers Exploit CVSS 10.0 Bricksforge WordPress Flaw Enabling Unauthenticated RCE
この記事のポイント
影響のあるシステム
- Bricksforge 3.1.8.9以前：CVE-2026-85097の影響を受けるWordPressプラグイン。PatchstackによるCVSS評価は10.0（Critical）。認証なしで任意のPHPコードを実行される可能性があります。
- BricksforgeのPro Forms機能：ファイルアップロードとフォーム送信の処理に関連する脆弱性です。開発元は4.0.1でも関連するセキュリティ修正を実施しています。
- WPC Product Bundles for WooCommerce 8.6.6以前：CVE-2026-93836（CVSS 7.1）。クロスサイトスクリプティング（XSS）の脆弱性が悪用されています。
- Ninja Forms 3.15.3以前：CVE-2026-94504（CVSS 7.1）。管理者のブラウザー上で不正なJavaScriptが実行される可能性があります。
- 影響を受けたWordPressサイト：不正な管理者アカウントやバックドアが設置され、修正後も侵入状態が継続するおそれがあります。
推奨される対策
- Bricksforgeを最新版へ更新してください。CVE-2026-85097は3.1.8.10で修正されていますが、バージョン4.0.1への更新を推奨します。
- WPC Product Bundles for WooCommerceを8.6.7以降、Ninja Formsを3.15.4以降の修正版へ更新してください。
- Bricksforgeのフォーム送信API「/wp-json/bricksforge/v1/form_submit」への不審なアクセスを調査してください。
- 「/wp-content/uploads/bricksforge/tmp/」に想定外のPHPファイルが生成されていないか確認してください。
- WordPressの管理者アカウント、must-useプラグイン、Webサーバーログを確認し、不正な変更や侵入の痕跡を調査してください。
- WAFによる防御、脆弱性スキャン、ファイル変更の監視を組み合わせてください。
上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。更新バージョンについては、Bricksforge開発元が2026年10月13日に公開した変更履歴も確認しています。
この記事に出てくる専門用語
- CVE：公開された脆弱性を識別するための共通番号です。CVE-2026-85097は今回のBricksforgeの脆弱性を示します。
- CVSS：脆弱性の深刻度を評価するための共通指標です。一般的に0.0から10.0のスコアで表され、数値が高いほど重大と評価されます。
- RCE（Remote Code Execution）：ネットワークを経由して、対象サーバー上で攻撃者が任意のコードを実行できる状態を指します。
- 認証不要の攻撃：正規のユーザーアカウントでログインしなくても、脆弱性を悪用できることです。
- PHP：WordPressをはじめ、多くのWebサイトでサーバー側の処理に使用されるプログラミング言語です。
- MIMEタイプ：ファイルのデータ形式を表す情報です。画像や文書などの種類を識別する際に使用されます。
- ポリグロットファイル：複数のファイル形式として解釈できるように作られたファイルです。今回の攻撃では、画像として扱える一方でPHPコードも含むファイルが使用されています。
- XSS（クロスサイトスクリプティング）：Webページに不正なスクリプトを混入させ、利用者のブラウザー上で実行させる脆弱性です。
- Webシェル：Webサーバーに設置され、外部から不正な操作やコマンド実行を行うために悪用されるプログラムです。
- バックドア：通常の認証やアクセス制御を回避して、システムへ再侵入するための不正な仕組みです。
- WAF：Web Application Firewallの略称です。Webアプリケーションに対する不正なHTTPリクエストを検知・遮断するための防御技術です。
Bricksforgeに深刻な脆弱性、ログイン不要でサーバーを操作される危険性
WordPressの拡張プラグイン「Bricksforge」で、認証を必要としない任意ファイルアップロードの脆弱性が確認されました。識別番号はCVE-2026-85097で、影響を受けるのはバージョン3.1.8.9以前です。
Bricksforgeは、Webサイト制作ツール「Bricks Builder」に機能を追加するプラグインで、フォーム作成、アニメーション、インタラクティブなWebページ制作などに利用されています。今回の問題は、主にフォームのファイル処理に関係するものです。
通常、ファイルをアップロードできるWebサイトでは、危険なプログラムが保存・実行されないように、ファイル形式や保存先を検証する必要があります。しかし、今回の脆弱性では、最初のアップロード段階で画像ファイルとして検証されたデータが、その後のフォーム送信処理で安全に扱われない問題がありました。
攻撃者は、この処理の不備を利用して、画像として認識されるファイルにPHPコードを含め、最終的にサーバー上で実行可能な状態にすることができます。正規のWordPress管理者としてログインする必要がないため、外部に公開されているWebサイトが直接攻撃対象となる可能性があります。
攻撃が成功すると、Webサイトの改ざん、機密情報の読み取り、Webシェルの設置、不正な操作の継続などにつながるおそれがあります。今回の脆弱性は単なる画面表示の問題ではなく、Webサイトを稼働させるサーバーの安全性にも関わる重大な問題です。
なお、深刻度については評価機関による違いがあります。PatchstackはCVSS 10.0と評価していますが、NVDに掲載されているWordfenceによるCVSS v3.1の評価は9.8です。いずれも最も深刻な「Critical」に分類されます。
実際の攻撃を確認、画像ファイルとPHPの拡張子を悪用
セキュリティ企業Patchstackは、2026年10月7日21時47分（UTC、日本時間10月8日6時47分）に、今回の脆弱性を狙った攻撃を検知したと報告しています。その後の調査では、合計63個の異なる送信元IPアドレスから攻撃とみられるアクセスが確認されました。
攻撃の特徴は、画像ファイルとして許可されたデータを、後続のフォーム処理でPHPファイルとして保存させる点にあります。Bricksforgeでは、最初のアップロード時にファイルのMIMEタイプを確認します。しかし、フォーム送信時に渡される「temporaryFileUploads」というパラメーター内のURL情報について、十分な検証が行われていませんでした。
攻撃者は、GIFやPNGなどの画像として認識されるファイルにPHPコードを含め、フォーム送信処理でファイルの保存先情報を操作します。結果として、PHPコードを含むファイルが実行可能な拡張子で配置され、外部からアクセスされた際にコードが実行される可能性があります。
実際の攻撃では「/wp-json/bricksforge/v1/form_submit」や「/wp-admin/admin-ajax.php」などのエンドポイントが狙われています。さらに、一般的な「.php」だけではなく、「.php5」「.php7」「.phtml」といった拡張子や、大文字と小文字を組み合わせた表記、URLエンコードを利用した変形パターンも確認されています。
Patchstackの観測では、44個のIPアドレスから数秒間に同一の内容を持つ56件のリクエストが送られた事例や、3個のIPアドレスから25種類の拡張子・エンコードの組み合わせが試された事例がありました。こうした特徴は、自動化された攻撃や分散したネットワーク設備の利用を示唆しています。ただし、これらのアクセスが同一の攻撃者によるものかどうかは特定されていません。
Bricksforge以外にも攻撃拡大、不正な管理者アカウントを作成する手口
今回の報告では、Bricksforgeだけでなく、別のWordPressプラグインに存在する脆弱性を利用した攻撃も取り上げられています。対象となっているのは「WPC Product Bundles for WooCommerce」と「Ninja Forms」です。
WPC Product Bundles for WooCommerceにはCVE-2026-93836、Ninja FormsにはCVE-2026-94504という脆弱性があり、いずれもPatchstackによるCVSSスコアは7.1と報告されています。これらはXSSと呼ばれる種類の脆弱性で、攻撃者が不正なJavaScriptを管理画面側で実行させることにつながります。
確認された攻撃では「x.js」と呼ばれるJavaScriptペイロードが使用されています。このコードは、WordPress管理者がログインした状態のブラウザーで実行されると、その管理者の権限を悪用して不正なプラグインを導入したり、管理者アカウントを新たに作成したりする可能性があります。
特に注意が必要なのは、不正な管理者アカウントをWordPressの通常のユーザー一覧から見えないようにする仕組みが報告されていることです。さらに、特殊なログインURLを使用して既存の管理者として認証を受ける仕組みや、認証を必要としないファイル管理機能を備えた不正プラグインも確認されています。
これらの攻撃が成立すると、管理者が通常の画面から不正なアカウントを確認できないまま、攻撃者によるアクセスが継続する可能性があります。そのため、単純にプラグインを更新するだけでは十分とは限りません。すでに不正なコードが実行された場合、更新後もバックドアや不正アカウントが残存するおそれがあります。
WPC Product Bundles for WooCommerceは8.6.7、Ninja Formsは3.15.4で今回の脆弱性に対する修正が行われています。管理者は修正版への更新に加えて、データベース上の管理者アカウント、must-useプラグインのディレクトリ、過去のWebサーバーログを確認することが重要です。
国内のWordPress管理者が確認すべき更新状況と侵入の痕跡
WordPressを利用する国内企業では、まず対象プラグインが導入されているか確認する必要があります。BricksforgeのCVE-2026-85097は3.1.8.10で修正されましたが、その後もPro Forms機能に関するセキュリティ対策が追加されています。
Bricksforgeの開発元は2026年10月8日に4.0.1を公開し、Pro Formsのファイルアップロード処理に関する問題を修正しました。さらに10月13日には4.0.2を公開し、REST APIの保護強化や、一時アップロードフォルダー内でのファイル実行を防ぐ対策などを追加しています。そのため、3.1.8.10への更新だけで対応を完了とせず、現在提供されている最新版へ移行することが推奨されます。
更新と並行して、不正アクセスの痕跡も確認することが重要です。Patchstackは、Bricksforgeのフォーム送信APIに対する不審なリクエスト、短時間に繰り返されるフォーム送信、ファイル拡張子を変化させたアクセスなどを調査対象として挙げています。
特に「/wp-content/uploads/bricksforge/tmp/」などのアップロードディレクトリに、想定外のPHPファイルが存在しないか確認する必要があります。該当するファイルが見つかった場合には、アクセス履歴や作成時刻を調べ、サーバー上で不正なコードが実行された可能性を検証することが求められます。
また、Ninja FormsやWPC Product Bundles for WooCommerceを利用している場合には、通常の管理画面に表示されない不正アカウントが存在する可能性も考慮する必要があります。必要に応じてWordPressのデータベースを直接確認し、不審な管理者権限やプラグインの存在を調査します。
プラグインの更新は、新たな脆弱性悪用を防ぐための基本的な対策ですが、すでに侵入されたサイトから不正なファイルやバックドアを取り除くものではありません。過去に脆弱なバージョンを使用していた場合には、更新履歴だけでなく、実際に侵入が発生していなかったかを確認することが重要です。
2026年第2四半期に2,073件の脆弱性、WordPressを狙う攻撃への継続的な備え
今回のBricksforgeの脆弱性は、WordPressを狙う攻撃が継続している状況を示す事例の一つです。セキュリティ企業Wordfenceの報告によると、2026年第2四半期にはWordPress関連の脆弱性が合計2,073件公開されました。
このうち、脅威度の高い脆弱性は182件となり、前四半期から15.2％増加したとされています。また、同期間には約57万3,000のWordPressサイトが侵害されたと報告されています。これらはWordfenceが示した観測値であり、世界中のすべてのWordPressサイトについて被害を確定した数字ではありません。
攻撃対象として挙げられた主な脆弱性には、LiteSpeed CacheのCVE-2024-28000、WPGraphQLのCVE-2019-9879、WooCommerce PaymentsのCVE-2023-28121、SureTriggersのCVE-2025-3102などがあります。これらには、認証回避、管理者権限の取得、任意のファイルアップロードなど、攻撃成功時の影響が大きい問題が含まれています。
WordPressのセキュリティ対策では、WordPress本体だけでなく、導入しているテーマやプラグインを含めた脆弱性管理が必要です。特に、外部からアクセスできるフォームやファイルアップロード機能、管理者権限に関わる処理については、重大な脆弱性が公表された場合に速やかに対応できる体制が求められます。
Wordfenceは、防御策としてファイアウォールの活用、迅速なセキュリティ修正の適用、設定の強化、マルウェアや不審な変更の検出、重要なイベントの監視などを挙げています。これらを組み合わせることで、攻撃を未然に防ぐだけでなく、侵入が発生した場合の早期発見にもつなげることができます。
今回の事例からも、プラグインを最新版に更新することと、すでに侵害されていないかを調査することは、別の対応として考える必要があります。企業のWebサイト運用では、定期的なアップデートに加え、アクセスログの監視、ファイル変更の検知、脆弱性診断を継続的に実施し、攻撃を受けた際に速やかに状況を把握できる状態を維持することが重要です。
参考文献・記事一覧
- The Hacker News：Attackers Exploit CVSS 10.0 Bricksforge WordPress Flaw Enabling Unauthenticated RCE（2026年10月12日）
- Patchstack：Critical Unauthenticated Arbitrary File Upload Vulnerability Exploited in Bricksforge Plugin（2026年10月8日）
- Bricksforge公式：Version Changelog（修正バージョン・セキュリティ更新履歴）
- NIST National Vulnerability Database：CVE-2026-85097
- Patchstack：Four ways back in: the WordPress XSS campaign that hides its own admin account
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
