Celah Unggahan Berbahaya Incar Plugin WordPress

Celah Unggahan Berbahaya Incar Plugin WordPress – Sebuah kerentanan keamanan dengan tingkat keparahan maksimum yang berdampak pada plugin Bricksforge untuk WordPress kini tengah berada di bawah eksploitasi aktif oleh para peretas di alam liar, menurut laporan dari para peneliti.

Celah kritis tersebut dilacak sebagai CVE-2026-85097 dengan skor CVSS sempurna 10.0. Kerentanan ini memungkinkan penyerang yang tidak terotentikasi (unauthenticated attackers).

Yakni untuk mengunggah dan mengeksekusi kode PHP sembarang pada situs web WordPress rentan, yang berujung pada eksekusi kode jarak jauh.

Kerentanan ini berdampak pada plugin Bricksforge versi 3.1.8.9 ke bawah. Pihak pengembang telah merilis pembaruan perbaikan melalui versi 3.1.8.10 (dan disarankan untuk memperbarui ke versi 4.0.1).

Bricksforge sendiri merupakan plugin WordPress populer yang diiklankan sebagai “pisau tentara Swiss” untuk Bricks, sebuah alat pembangun situs visual untuk WordPress yang mendukung animasi, formulir tingkat lanjut, dan rangkaian video gulir.

Membedah Celah Eksekusi Kode Jarak Jauh (RCE)

Perusahaan keamanan mendeteksi upaya eksploitasi yang menargetkan celah ini. Para peneliti menjelaskan bahwa Bricksforge melakukan validasi tipe MIME file saat pertama kali diunggah.

Namun, ketika sebuah formulir diserahkan (submitted), plugin tersebut justru langsung memercayai metadata file yang dikirimkan oleh klien, khususnya pada parameter url di dalam temporaryFileUploads.

Secara garis besar, celah ini berasal dari validasi yang tidak memadai pada bidang URL selama pengiriman formulir. Penyerang dapat mengeksploitasi celah ini melalui empat langkah utama:

Meminta nonce yang valid dari titik akhir AJAX tanpa otentikasi (bricksforge_regenerate_nonce).
Mengunggah file polyglot GIF/PHP: file yang sah sebagai gambar namun juga menyisipkan kode PHP di dalamnya, sehingga lolos pemeriksaan MIME dan masuk ke direktori unggahan sementara.
Mengirimkan formulir di mana jalur file menunjuk ke gambar yang tervalidasi tersebut, namun URL-nya diakhiri dengan ekstensi .php.
Bricksforge secara implisit memercayai metadata tersebut dan menempatkan isi file ke lokasi ekstensi PHP, memicu eksekusi kode tertanam saat file dipanggil.

Untuk mengecoh penyaringan ekstensi, para pelaku eksploitasi menggunakan berbagai variasi ekstensi PHP alternatif (seperti .php5, .php7, atau .phtml), manipulasi huruf besar-kecil (.PHP, .Php), hingga teknik pengodean ekstensi (.%70hp, %2ephp).

Telemetri mencatat dua klaster utama serangan: klaster pertama melibatkan 44 alamat IP yang mengirimkan 50+ permintaan dengan payload identik dalam hitungan detik, sementara klaster kedua menguji 25 variasi ekstensi PHP terhadap file sementara yang sama.

Aktivitas ini terpantau berasal dari 63 IP unik, dengan beberapa alamat IP mendominasi hampir setengah dari total seluruh permintaan.

Eksploitasi Sambungan pada Plugin Lain

Pengungkapan celah ini bertepatan dengan maraknya eksploitasi terhadap kerentanan cross-site scripting (XSS) pada dua plugin WordPress lain yang tidak berkaitan.

Yaitu WPC Product Bundles for WooCommerce (CVE-2026-93836) dan Ninja Forms (CVE-2026-94504).

Dalam serangan tersebut, peretas mengirimkan payload JavaScript (x.js) yang dirancang untuk:

Memasang manajer file tanpa otentikasi melalui file PHP utama.
Membuat akun administrator siluman yang disembunyikan dari layar daftar pengguna.
Memasang tautan masuk rahasia (magic login URL) yang mengotentikasi pemegangnya sebagai administrator tertua di situs tersebut.

Peneliti menekankan bahwa meskipun memperbarui plugin ke versi aman (versi 8.6.7 untuk WPC Product Bundles dan versi 3.15.4 untuk Ninja Forms) dapat mencegah eksploitasi lanjutan.

Hal itu tidak membersihkan infeksi yang telanjur terjadi, karena itu pemilik situs harus mengaudit basis data secara langsung guna mencari akun administrator tersembunyi.

Tren Eksploitasi WordPress

Berdasarkan data kuartal kedua, ribuan kerentanan terkait WordPress dipublikasikan, dengan lonjakan signifikan pada celah berisiko tinggi yang mengompromikan ratusan ribu situs web.

Beberapa kerentanan paling sering disasar meliputi masalah eskalasi hak istimewa, pembuatan akun administratif tanpa izin, hingga unggahan file sewenang-wenang.

Saran Mitigasi Keamanan

Untuk melindungi situs web WordPress Anda dari eksploitasi celah kritis seperti Bricksforge dan injeksi skrip berbahaya, terapkan 8 langkah mitigasi keamanan berikut:

Mutakhirkan plugin Bricksforge ke versi terbaru (4.0.1 atau lebih tinggi), serta perbarui WPC Product Bundles dan Ninja Forms ke versi tambalan masing-masing.
Periksa secara berkala direktori /wp-content/uploads/bricksforge/tmp/ untuk mendeteksi keberadaan file PHP asing atau mencurigakan.
Lakukan pemeriksaan langsung pada tabel basis data WordPress Anda untuk memastikan tidak ada akun admin siluman yang dibuat oleh peretas.
Gunakan firewall aplikasi web yang kuat untuk memblokir lalu lintas mencurigakan sebelum mencapai titik akhir REST API formulir Anda (/wp-json/bricksforge/v1/form_submit).
Periksa catatan log web server secara rutin untuk mendeteksi permintaan berulang dengan parameter temporaryFileUploads yang tidak wajar.
Nonaktifkan eksekusi skrip PHP di dalam folder direktori unggahan media dan upload sementara melalui konfigurasi peladen (seperti aturan .htaccess atau Nginx).
Jalankan perangkat pemindai keamanan secara rutin untuk mendeteksi adanya web shell atau plugin tambahan tersembunyi (must-use plugins).
Perketat keamanan akun administrator dengan autentikasi multifaktor dan kata sandi yang kuat guna mencegah pengambilalihan akun.

Baca artikel lainnya: