Am 7. Oktober um 21:47 Uhr begannen die ersten Angriffe auf CVE-2026-85097, eine Lücke in der WordPress-Erweiterung Bricksforge. Der Schweregrad ist 10.0 — der höchste, den die Skala kennt. Ohne Anmeldung lässt sich eine Datei hochladen und als Programmcode ausführen; damit gehört die Website dem Angreifer.
Betroffen sind die Fassungen bis einschliesslich 3.1.8.9. Behoben ist es in 3.1.8.10.
Wer diese Erweiterung einsetzt, hört hier auf zu lesen und spielt das Update ein. Für alle anderen ist die Geschichte eine andere.
Warum das Plugin nicht die Geschichte ist
Bricksforge ist ein Zusatz für den Bricks-Builder und läuft nach Schätzung auf rund 6000 Websites. Das ist wenig. Die meisten Leserinnen und Leser dieses Beitrags sind nicht betroffen.
Interessant ist, wie angegriffen wurde.
Das Sicherheitsunternehmen Patchstack, das die Lücke gemeldet hat, zählte in den Angriffen 63 verschiedene Absenderadressen. Sechs davon erzeugten zusammen rund die Hälfte aller Anfragen.
Zwei Muster stechen heraus:
Eine Gruppe aus 44 Adressen schickte 56 identische Anfragen — innerhalb weniger Sekunden.
Eine zweite Gruppe probierte 25 Varianten durch: andere Dateiendungen wie .php5, .php7 oder .phtml, Gross- und Kleinschreibung, verschiedene Kodierungen. Immer gegen dieselbe Datei.
Was daran bemerkenswert ist
Die erste Gruppe denkt nicht nach. Sie schickt dieselbe vorbereitete Anfrage an alles, was erreichbar ist, und sieht nach, wo etwas zurückkommt.
Die zweite denkt auch nicht nach, sie probiert nur gründlicher — sie variiert so lange, bis eine Schreibweise durchrutscht.
Beides läuft ohne Beteiligung eines Menschen. Zwischen der Veröffentlichung einer Lücke und dem ersten Versuch liegen keine Tage, in denen jemand abwägt, ob sich das Ziel lohnt.
Damit fällt ein Satz in sich zusammen, den wir oft hören: «Uns sucht niemand, wir sind zu klein.»
Der Satz setzt voraus, dass jemand sucht. Dass eine Person eine Liste ansieht, Ziele abwägt und sich für eines entscheidet. Genau das passiert hier nicht. Eine Website wird nicht ausgewählt — sie wird gefunden, weil sie erreichbar ist und antwortet.
Die Grösse eines Betriebs spielt dabei keine Rolle, weil niemand hinsieht, wie gross er ist.
Wie die Lücke funktioniert
Der Ablauf ist lehrreich, weil der Fehler so klein ist.
Die Erweiterung erlaubt Datei-Uploads über ein Formular. Beim Hochladen prüft sie den Dateityp — so weit richtig. Danach aber verlässt sie sich auf eine Angabe, die der Absender selbst mitschickt: wohin die Datei gespeichert werden soll.
Die Angreifer nutzen das so: Sie laden eine Datei hoch, die gleichzeitig ein gültiges Bild und Programmcode ist. Die Typprüfung sieht ein Bild und lässt es durch. Im zweiten Schritt ändern sie in der mitgeschickten Angabe die Endung von .gif auf .php.
Die Datei wird unter dem neuen Namen abgelegt — und ab da ist sie für den Server kein Bild mehr, sondern ein Programm.
Geprüft wurde also das Richtige, nur an der falschen Stelle: einmal beim Empfang, aber nicht mehr, als es darum ging, wohin die Datei kommt.
Das ähnelt dem Fall, über den wir im September geschrieben haben — auch dort lief Code, weil eine Prüfung an einer Stelle fehlte, an der niemand sie vermutete.
Woran Betroffene einen Treffer erkennen
Das ist der praktische Teil, und er gilt nur für Bricksforge-Installationen.
Die hochgeladenen Dateien landen bevorzugt im Verzeichnis uploads/bricksforge/tmp/ — oder in den gewöhnlichen Upload-Ordnern unter Namen, die mit login_admin_ beginnen und auf .php enden.
Wer dort eine PHP-Datei findet, hat einen Treffer und nicht bloss einen Versuch. Ein Update allein genügt dann nicht; die Datei muss weg, und es gehört geprüft, was von ihr aus noch angelegt wurde.
Was daraus folgt, auch ohne dieses Plugin
Updates sind kein Wartungsthema, sondern ein Zeitthema. Zwischen Veröffentlichung und erstem Angriffsversuch lag hier weniger als ein Tag. Wer monatlich nachsieht, ist in diesem Rhythmus zu langsam — automatische Updates für Erweiterungen sind deshalb in den meisten Fällen die bessere Wahl, auch wenn sie gelegentlich etwas kaputtmachen.
Der zweite Punkt ist unbequemer: Jede installierte Erweiterung ist eine mögliche Eintrittsstelle, auch eine, die kaum benutzt wird. Was nicht gebraucht wird, gehört entfernt und nicht nur deaktiviert.
Wenn Sie nicht sicher sind, was auf Ihrer Website installiert ist und ob es noch gepflegt wird: Das sehen wir mit Ihnen durch.