Bricksforge: Kritische Lücke ermöglicht Übernahme der Website ohne Login

Wer ist betroffen?

Jede WordPress-Website mit installiertem Bricksforge in Version 3.1.8.9 oder älter. Es spielt keine Rolle, wie bekannt die Seite ist. Solche Lücken werden automatisiert im Netz gesucht. Es muss auch kein Besucher und kein Admin etwas tun.

Bricksforge erweitert den Bricks Builder um Formulare, Animationen und dynamische Daten. Betroffen sind also vor allem Agenturseiten und Unternehmensseiten, die mit Bricks gebaut wurden. Das Formular-Modul ist der Angriffspunkt. Ob das Plugin aktiv ein Formular ausspielt, ist laut Quellen nicht entscheidend. Verlassen Sie sich darauf aber nicht, sondern aktualisieren Sie in jedem Fall.

Nicht betroffen sind Seiten ohne Bricksforge. Ein deaktiviertes Plugin bleibt ein Restrisiko, solange der Code auf dem Server liegt. Löschen Sie es, wenn Sie es nicht brauchen.

Was passiert technisch?

Das Plugin prüft den Dateityp einer Datei korrekt, wenn sie hochgeladen wird. Beim späteren Absenden eines Formulars vertraut es aber den Metadaten, die der Client mitschickt, und prüft das Feld url im Parameter temporaryFileUploads nicht. Der Ablauf in vier Schritten:

1. Der Angreifer holt sich über einen offenen AJAX-Endpunkt ein gültiges Nonce, ohne angemeldet zu sein.
2. Er lädt eine Datei hoch, die zugleich ein gültiges Bild und PHP-Code ist (ein sogenanntes Polyglot). Die Typprüfung lässt sie durch.
3. Er sendet ein Formular, in dem der Dateipfad auf das geprüfte Bild zeigt, die Ziel-URL aber auf eine .php-Datei.
4. Das Plugin legt den Inhalt am PHP-Ziel ab. Beim Aufruf führt der Server den eingebetteten Code aus.

Danach kann der Angreifer Webshells einrichten, Inhalte verändern, Daten lesen und sich dauerhaften Zugang verschaffen. Das ist genau das Muster, das wir aus Hack-Fällen kennen: eine unauffällige Datei im Upload-Ordner, die später Spam, Weiterleitungen oder neue Admin-Konten nach sich zieht.

Was wird in der Praxis beobachtet?

Patchstack sah erste Angriffsversuche am 7. Oktober 2026 um 21:47 UTC. Ein paar Befunde aus deren Telemetrie:

• Fast alle Versuche gingen an den REST-Endpunkt /wp-json/bricksforge/v1/form_submit, ein Versuch an admin-ajax.php.
• Es wurden 63 verschiedene Quell-IPs erfasst, von Rechenzentren über Cloud-Anbieter bis zu Privatanschlüssen. IP-Sperren helfen deshalb kaum.
• Die Angreifer probieren Varianten der Dateiendung durch: .php5, .phtml, Groß- und Kleinschreibung sowie URL-kodierte Formen. Ein Filter nur auf .php reicht also nicht.
• Das Muster deutet auf Automatisierung hin, nicht auf einen einzelnen bekannten Täter.

So prüfen Sie, ob Sie betroffen sind

Vier Prüfschritte, jeweils in wenigen Minuten erledigt. Die Übersicht zeigt, worauf Sie achten müssen. Die Befehle dazu stehen darunter.

Schritt;Was wird geprüft;Womit;Auffällig, wenn
1;Plugin und Version;`wp plugin list --name=bricksforge`;Version 3.1.8.9 oder niedriger
2;Angriffsversuche in den Logs;`grep` auf den Endpunkt `form_submit`;Viele POST-Anfragen von wechselnden IPs in kurzer Zeit
3;PHP-Dateien im Upload-Ordner;`find wp-content/uploads`;Jede PHP-Datei in uploads, auch mit unauffälligem Namen
4;Spuren im System;`wp user list --role=administrator`;Unbekannte Administratoren, kürzlich geänderte Dateien, fremde Weiterleitungen

Schritt 1: Ist Bricksforge installiert, und in welcher Version?

Im WordPress-Backend unter Plugins steht die Versionsnummer. Auf der Kommandozeile mit WP-CLI:

wp plugin list --name=bricksforge --fields=name,status,version

Steht dort 3.1.8.9 oder niedriger, sind Sie verwundbar. Ab 3.1.8.10 ist die Lücke geschlossen. Das gilt auch für deaktivierte Plugins.

Schritt 2: Gab es Angriffsversuche?

Suchen Sie in den Zugriffsprotokollen Ihres Servers nach Aufrufen des Endpunkts. Den Parameter selbst sehen Sie in normalen Access-Logs nicht, weil er im Request-Body steckt. Auffällig sind aber viele POST-Anfragen von wechselnden IPs in kurzer Zeit:

grep -E 'bricksforge/v1/form_submit|bricksforge_regenerate_nonce|bricksforge_form_submit' /pfad/zum/access.log

Pfade und Logformat hängen vom Hoster ab. Ein Treffer heißt nur, dass angegriffen wurde, nicht dass es geklappt hat.

Schritt 3: Liegen PHP-Dateien, wo sie nicht hingehören?

Im Upload-Ordner hat PHP normalerweise nichts verloren. Diese Suche zeigt verdächtige Dateien samt Änderungsdatum:

find wp-content/uploads -type f \( -iname '*.php*' -o -iname '*.phtml' -o -iname '*.pht' -o -iname '*.phps' \) -printf '%TY-%Tm-%Td %p\n'
find wp-content/uploads/bricksforge -type f

Besonders verdächtig sind Dateien, die wie login_admin_*.php heißen, im Bricksforge-Temp-Ordner oder im aktuellen Monatsordner der Uploads. Jede PHP-Datei in uploads ist ein Alarmzeichen, auch mit unauffälligem Namen.

Schritt 4: Gibt es Spuren im System?

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Unbekannte Administratoren, kürzlich geänderte Dateien oder Weiterleitungen auf fremde Seiten sprechen für eine Übernahme. Hatte Ihre Seite eine verwundbare Version online, prüfen Sie auch die älteren Logs, nicht nur die der letzten Tage.

Was Sie jetzt tun

1. Sofort aktualisieren auf Bricksforge 3.1.8.10 oder neuer. Das schließt die Lücke.
2. Wenn ein Update nicht sofort geht: das Plugin deaktivieren, bis es aktualisiert ist. Besser noch vom Server löschen, wenn Sie es nicht brauchen.
3. Die Prüfschritte oben durchführen, auch nach dem Update. Das Update entfernt keine Dateien, die schon hochgeladen wurden.
4. Bei Fund: Seite offline nehmen oder in den Wartungsmodus, Backup des aktuellen Stands ziehen, Passwörter aller Admins und Datenbank-Zugänge ändern. Eine einzelne gelöschte Datei reicht nicht, weil Angreifer meist mehrere Zugänge anlegen. Hier lohnt sich professionelle Bereinigung.
5. Als Vorsorge: automatische Updates für Plugins mit Sicherheitsfixes aktivieren und regelmäßig prüfen, ob in uploads PHP-Dateien liegen.

Fazit

Die Lücke ist einfach auszunutzen, braucht keinen Login und wird bereits angegriffen. Die gute Nachricht: Ein Update schließt sie, und die Prüfung dauert wenige Minuten. Wer unsicher ist, ob die Seite schon kompromittiert wurde, kann sie von uns prüfen lassen.

Unser Angebot

Verdacht auf Befall? Wir prüfen und bereinigen Ihre Seite zum Festpreis, den Sie vorab kennen. Mehr dazu unter Notfallhilfe bei Hack. Wenn Sie erst einmal wissen möchten, wo Ihre Seite steht, hilft der Sicherheitscheck.