Si votre site utilise Bricks Builder avec l'extension Bricksforge, vérifiez sa version aujourd'hui. Une faille notée 10 sur 10, la gravité maximale, y a été découverte : CVE-2026-85097. Patchstack a observé les premières attaques le 7 octobre 2026. Elle permet à n'importe qui, sans compte, de déposer du code sur votre serveur. Pour un site déjà touché, voyez notre page site WordPress piraté.
Comment fonctionne l'attaque
Bricksforge ajoute notamment des formulaires avancés à Bricks Builder. L'attaquant :
- récupère un jeton de sécurité valide grâce à une fonction publique de l'extension ;
- envoie un fichier déguisé en image GIF, qui contient en réalité du code PHP ;
- soumet un formulaire piégé qui place ce fichier là où le serveur l'exécutera.
Une fois ce fichier en place, l'attaquant peut tout faire sur le site : créer des administrateurs, injecter des redirections, voler des données ou déposer d'autres portes dérobées. Patchstack indique que la plupart des requêtes visaient l'adresse /wp-json/bricksforge/v1/form_submit.
Les versions concernées
Les versions 3.1.8.9 et antérieures sont vulnérables. Le correctif est arrivé en 3.1.8.10, et l'éditeur a publié une correction supplémentaire des envois de fichiers dans la version 4.0.1, le 8 octobre.
Pour vérifier : Extensions, Extensions installées, puis la ligne Bricksforge. Comme il s'agit d'une extension payante, la mise à jour passe par votre licence. Si la licence a expiré, l'extension ne se met plus à jour d'elle-même, et c'est souvent là que le risque s'installe.
Les signes que l'attaque a réussi
- Des fichiers .gif ou .php inconnus dans wp-content/uploads, souvent dans des dossiers récents.
- Un administrateur ou un éditeur que vous n'avez pas créé.
- Des redirections vers d'autres sites, surtout sur mobile.
- Des envois de formulaire que vous ne reconnaissez pas dans l'historique de Bricksforge.
Que faire tout de suite
- Mettez Bricksforge à jour, ou désactivez-le si vous ne pouvez pas le faire immédiatement.
- Faites une sauvegarde de l'état actuel avant toute autre action : elle servira à comprendre ce qui s'est passé.
- Changez les mots de passe des administrateurs et de l'hébergement.
- Cherchez les fichiers PHP dans le dossier des envois : ils n'ont rien à y faire.
Pourquoi la mise à jour ne suffit pas toujours
La mise à jour ferme la faille, mais si un fichier malveillant a été déposé entre le 7 octobre et votre mise à jour, il reste en place. Une extension de sécurité peut le détecter, sans garantie de trouver les copies cachées ailleurs. Notre diagnostic gratuit vous dit si le site est sain ou s'il faut nettoyer.
Source : [Cybersecurity News, d'après Patchstack](https://cybersecuritynews.com/wordpress-plugin-vulnerability-exploited/), 13 octobre 2026.