Pengantar

Jakarta, 13 Oktober 2026 — Pengguna WordPress yang menggunakan plugin Bricksforge perlu segera memeriksa keamanan situs mereka. Sebuah kerentanan kritis dengan kode CVE-2026-85097 dilaporkan telah dieksploitasi secara aktif oleh penyerang. Kerentanan ini memiliki skor CVSS 10.0, yang menunjukkan tingkat keparahan maksimum, dan memungkinkan penyerang menjalankan kode PHP pada server tanpa harus login terlebih dahulu.

Informasi tersebut dilaporkan oleh The Hacker News pada 12 Oktober 2026, berdasarkan temuan perusahaan keamanan WordPress Patchstack. Versi Bricksforge hingga 3.1.8.9 terdampak, sedangkan perbaikannya tersedia pada versi 3.1.8.10.

Apa Itu Bricksforge?

Bricksforge merupakan plugin tambahan untuk Bricks Builder, sebuah alat untuk membangun situs WordPress secara visual. Plugin ini menyediakan berbagai fitur, seperti formulir tingkat lanjut, animasi, interaksi halaman, dan pengelolaan konten dinamis.

Namun, kerentanan pada fitur pengunggahan file dan pemrosesan formulir dapat membuka jalan bagi penyerang untuk mengambil alih situs yang menggunakan versi rentan.

Mengenal Kerentanan CVE-2026-85097

Kerentanan CVE-2026-85097 berkaitan dengan pengunggahan file berbahaya yang dapat berujung pada Remote Code Execution (RCE).

RCE adalah kondisi ketika seseorang dapat menjalankan perintah atau kode pada komputer maupun server dari jarak jauh. Jika berhasil mengeksploitasi celah ini, penyerang berpotensi menjalankan kode PHP dengan hak akses yang dimiliki proses server web.

Berikut informasi utamanya:

• CVE: CVE-2026-85097
• Skor CVSS: 10.0 menurut laporan Patchstack
• Produk terdampak: Plugin Bricksforge untuk WordPress
• Versi rentan: 3.1.8.9 dan versi sebelumnya
• Versi perbaikan: 3.1.8.10
• Autentikasi: Tidak diperlukan untuk melakukan eksploitasi

Artinya, penyerang tidak harus memiliki akun WordPress untuk mencoba memanfaatkan kerentanan ini. <Cite refs={[“turn235290search1″,”turn235290search3”]}/>

Bagaimana Hacker Mengeksploitasi Celah Ini?

Masalah utama terletak pada cara Bricksforge memproses informasi file ketika formulir dikirimkan.

Pada awal pengunggahan, plugin memeriksa tipe file melalui MIME type. Pemeriksaan ini bertujuan memastikan file sesuai dengan jenis yang diizinkan. Namun, ketika formulir dikirimkan, plugin mempercayai metadata yang dikirim oleh pengguna, termasuk informasi URL tujuan file, tanpa melakukan validasi yang memadai.

Penyerang dapat memanfaatkan perbedaan tersebut melalui beberapa tahap.

1. Memperoleh nonce tanpa login

Penyerang memanfaatkan endpoint AJAX yang dapat diakses tanpa autentikasi untuk mendapatkan nonce yang dibutuhkan dalam proses permintaan. Nonce merupakan nilai yang biasanya digunakan aplikasi untuk membantu memvalidasi permintaan tertentu.

2. Mengunggah file yang tampak seperti gambar

Penyerang menyiapkan file yang terlihat seperti gambar GIF atau PNG, tetapi juga mengandung kode PHP. Teknik ini dikenal sebagai polyglot file, yaitu file yang dibuat agar dapat dikenali sebagai lebih dari satu jenis format.

Karena pemeriksaan awal tidak cukup untuk mencegah skenario ini, file dapat masuk ke direktori sementara plugin.

3. Memanipulasi metadata file

Ketika formulir dikirimkan, penyerang memanipulasi informasi URL tujuan file sehingga mengarah ke lokasi dengan ekstensi PHP. Sementara itu, metadata file yang lain masih menunjukkan bahwa file tersebut merupakan gambar.

4. Menjalankan kode PHP

Jika server menerima dan memproses file tersebut dengan cara yang rentan, kode PHP di dalamnya berpotensi dieksekusi ketika file diakses.

Rangkaian ini dapat memberikan kemampuan eksekusi kode jarak jauh kepada penyerang tanpa autentikasi.

Eksploitasi Aktif Telah Terdeteksi

Patchstack melaporkan bahwa aktivitas eksploitasi mulai terdeteksi pada 7 Oktober 2026 pukul 21.47 UTC.

Dalam pengamatannya, Patchstack menemukan aktivitas dari 63 alamat IP sumber. Dua pola aktivitas yang menonjol adalah:

• Sebanyak 44 alamat IP mengirimkan 56 permintaan dengan payload identik dalam waktu berdekatan.
• Tiga alamat IP lainnya menguji 25 variasi ekstensi file dan encoding terhadap file sementara yang sama.

Pola tersebut mengindikasikan penggunaan otomatisasi dan kemungkinan infrastruktur terdistribusi atau proxy untuk mengirimkan permintaan. Namun, data ini tidak cukup untuk memastikan bahwa seluruh aktivitas berasal dari satu kelompok penyerang.

Aktivitas tersebut juga menunjukkan bahwa kerentanan ini bukan sekadar risiko teoretis. Situs yang masih menggunakan versi rentan berpotensi menjadi sasaran pemindaian dan percobaan eksploitasi otomatis.

Apa Dampaknya bagi Pemilik Situs WordPress?

Jika eksploitasi berhasil, dampaknya dapat meluas melampaui fitur formulir yang bermasalah.

Pertama, pengambilalihan situs. Penyerang dapat menjalankan kode dengan hak akses proses server web dan memanfaatkan akses tersebut untuk melakukan tindakan lanjutan.

Kedua, pemasangan backdoor. Penyerang dapat menanamkan mekanisme akses tersembunyi agar dapat kembali masuk ke sistem setelah serangan awal.

Ketiga, pencurian data. Informasi yang dapat dijangkau oleh hak akses server, termasuk data aplikasi atau konfigurasi sensitif, berpotensi terekspos.

Keempat, perubahan konten situs. Situs dapat digunakan untuk menyebarkan konten berbahaya, mengarahkan pengunjung ke halaman lain, atau menjalankan aktivitas yang merugikan pemiliknya.

Dampak sebenarnya bergantung pada konfigurasi server, hak akses proses web, dan data yang dapat dijangkau oleh penyerang.

Cara Mendeteksi Kemungkinan Serangan

Administrator sebaiknya tidak hanya memeriksa versi plugin, tetapi juga meninjau aktivitas situs untuk mengetahui apakah eksploitasi pernah berhasil dilakukan.

Beberapa hal yang perlu diperiksa meliputi:

• Log HTTP yang menunjukkan permintaan mencurigakan ke endpoint /wp-json/bricksforge/v1/form_submit.
• Permintaan ke admin-ajax.php dengan aksi bricksforge_form_submit atau bricksforge_regenerate_nonce yang diikuti aktivitas unggah file mencurigakan.
• Metadata yang menunjukkan file gambar, tetapi URL tujuannya menggunakan ekstensi PHP.
• File PHP yang tidak dikenal di direktori wp-content/uploads/bricksforge/tmp/ atau direktori unggahan lainnya.
• Perubahan file WordPress yang tidak dapat dijelaskan, akun administrator asing, serta aktivitas server yang tidak biasa.

Pemeriksaan perlu mencakup log historis, bukan hanya aktivitas setelah plugin diperbarui. Pembaruan menutup celah yang diketahui, tetapi tidak otomatis menghapus file berbahaya atau akses tersembunyi yang mungkin telah ditanamkan sebelumnya.

Langkah Mitigasi dan Pencegahan

1. Perbarui Bricksforge

Langkah terpenting adalah memperbarui plugin ke versi 3.1.8.10 atau lebih baru yang telah memperbaiki kerentanan ini. Periksa versi yang terpasang melalui dashboard WordPress atau mekanisme pembaruan resmi.

Jika pembaruan belum dapat dilakukan, pertimbangkan menonaktifkan plugin sementara apabila tidak mengganggu kebutuhan penting situs. Perlindungan WAF yang memiliki aturan mitigasi khusus juga dapat membantu mengurangi risiko selama proses penanganan.

2. Periksa file dan akun pengguna

Lakukan pemindaian terhadap file WordPress, terutama direktori unggahan dan direktori sementara Bricksforge. Periksa juga akun administrator, plugin, tema, serta perubahan konfigurasi yang tidak dikenal.

Jika ditemukan indikasi kompromi, jangan hanya menghapus satu file mencurigakan. Lakukan investigasi untuk mengetahui apakah penyerang telah memasang backdoor atau mengubah komponen lainnya.

3. Batasi eksekusi PHP di direktori unggahan

Direktori unggahan umumnya digunakan untuk menyimpan gambar, dokumen, dan media lainnya. Jika aplikasi tidak membutuhkan eksekusi PHP di direktori tersebut, administrator dapat menerapkan aturan server untuk melarangnya.

Penerapan harus disesuaikan dengan konfigurasi Apache atau Nginx dan diuji agar tidak merusak fungsi situs.

4. Perkuat validasi unggahan file

Pengembang perlu melakukan validasi di sisi server terhadap isi file, tipe file, nama file, metadata, dan lokasi penyimpanannya. Jangan hanya mengandalkan informasi yang dikirimkan oleh browser atau aplikasi klien.

File yang diunggah sebaiknya disimpan di lokasi yang tidak memungkinkan eksekusi kode, dengan hak akses minimum yang diperlukan.

5. Tingkatkan pemantauan keamanan

Gunakan WAF, pemantauan log, pemindaian malware, serta pemantauan perubahan file untuk mendeteksi aktivitas mencurigakan lebih awal. Pastikan pula pencadangan dilakukan secara berkala dan dapat dipulihkan.

Jika terdapat bukti bahwa situs telah diambil alih, lakukan penanganan insiden secara menyeluruh, termasuk mengganti kredensial yang berpotensi terekspos dan mencabut sesi yang mencurigakan.

Kesimpulan

Kerentanan CVE-2026-85097 pada plugin Bricksforge menunjukkan bahwa kesalahan dalam memvalidasi metadata file dapat membuka jalan bagi serangan serius terhadap situs WordPress.

Dengan skor CVSS 10.0 menurut Patchstack dan adanya laporan eksploitasi aktif, administrator sebaiknya segera memperbarui plugin ke versi yang telah diperbaiki. Pemeriksaan log, file, akun pengguna, dan konfigurasi server juga penting untuk memastikan bahwa situs tidak telanjur disusupi.

Pesan penting bagi administrator WordPress: memperbarui plugin merupakan langkah awal, bukan akhir. Jika situs pernah menjalankan versi rentan selama periode eksploitasi, tetap lakukan pemeriksaan keamanan untuk memastikan tidak ada backdoor atau perubahan tidak sah yang tertinggal.