Bricksforge: fallo crítico explotado en WordPress, actualiza

Lo que se sabe

• Qué es el fallo: según la ficha del CVE publicada por INCIBE el 8 de octubre, el formulario de Bricksforge no valida bien un campo de los archivos subidos. Un atacante sin cuenta puede colocar un archivo PHP y ejecutarlo en el servidor.
• Qué versiones afecta: hasta la 3.1.8.9 incluida, según Patchstack y la ficha del CVE.
• Qué gravedad tiene: Patchstack le da 10,0 sobre 10. La ficha del CVE en INCIBE le da 9,8 y lo marca como crítico. Las dos cifras están en el máximo nivel de gravedad.
• Desde cuándo lo atacan: Patchstack vio el primer intento el 7 de octubre a las 21:47 UTC. Contó 63 direcciones IP distintas; seis de ellas sumaban cerca del 46 % de las peticiones. Patchstack lo lee como explotación automatizada, no como un solo atacante.
• Qué versión lo corrige: Patchstack dice que la 3.1.8.10. El registro de cambios del fabricante no tiene esa entrada: documenta la 4.0.1, del 8 de octubre, con una corrección de seguridad en la subida de archivos de Pro Forms. Según el fabricante, afecta a todo sitio con Pro Forms activo, aunque no tenga campos de subida, y dará los detalles al terminar el proceso de divulgación.
• Quién lo contó: Patchstack publicó su análisis el 8 de octubre. The Hacker News lo recogió el 12 de octubre y citó también un aviso de Wordfence.

Qué cambia y qué no

El fallo está en Bricksforge, no en WordPress ni en Bricks. Si tu web no tiene Bricksforge instalado, este aviso no te afecta.

Si lo tiene, el riesgo no depende de que uses formularios con subida de archivos: el fabricante dice que basta con tener Pro Forms activo. Y como los ataques son automáticos, no importa que tu web sea pequeña o tenga poco tráfico.

Lo que no está claro es la versión mínima segura. Patchstack nombra la 3.1.8.10 y el fabricante solo publica la 4.0.1. Mientras no se aclare, la 4.0.1 es la única que el propio fabricante documenta como corregida.

Una web comprometida así puede acabar con páginas de spam o redirecciones que Google detecta, y eso pesa en el SEO aunque el fallo se corrija después.

Cómo saber si te afecta

1. Mira si lo tienes. En el escritorio de WordPress, entra en Plugins y busca Bricksforge. Anota la versión que aparece debajo del nombre.
2. Si ves la 3.1.8.9 o anterior, actualiza ya. Lo más seguro es la 4.0.1. Si estás en la rama 3 y pasar a la 4 te preocupa, haz antes una copia de seguridad y prueba en una copia de la web. La 4.0.0 cambió varias partes del complemento, según su registro de cambios.
3. Si no puedes actualizar hoy, desactiva Bricksforge o al menos Pro Forms hasta que puedas. Patchstack ofrece una regla de protección para este CVE a quien usa su servicio.
4. Si estuvo sin actualizar desde el 7 de octubre, revisa. Busca archivos .php en la carpeta de subidas de WordPress, donde no deberían existir. Mira la lista de usuarios por si hay administradores que no reconoces y cambia las contraseñas de los que sí.
5. Si tu hosting es compartido, pídele a tu proveedor: «¿Pueden revisar si hay archivos PHP nuevos en las subidas de mi WordPress y peticiones raras al formulario de Bricksforge desde el 7 de octubre?».
6. Si encuentras algo, no te limites a borrarlo. Restaura una copia anterior al 7 de octubre, actualiza antes de volver a abrir la web y revisa en Search Console el informe de problemas de seguridad.

Relacionado: Ninja Forms: ataques dejan un admin oculto en WordPress

Fuentes

• Patchstack, «Critical Unauthenticated Arbitrary File Upload Vulnerability Exploited in Bricksforge Plugin», 8 de octubre de 2026 (en inglés)
• Bricksforge, registro de cambios de versiones (en inglés)
• INCIBE-CERT, ficha de CVE-2026-85097
• The Hacker News, «Attackers Exploit CVSS 10.0 Bricksforge WordPress Flaw Enabling Unauthenticated RCE», 12 de octubre de 2026 (en inglés)

Actualizaciones: aquí se añadirá si el fabricante publica los detalles del fallo o confirma la 3.1.8.10 como versión corregida.