Pengelola situs WordPress di lingkungan instansi, desa, sekolah, maupun UMKM perlu menambah satu item lagi ke daftar pemeliharaan minggu ini. Sebuah celah keamanan dengan nilai keparahan maksimum (CVSS 10.0) pada plugin Bricksforge for WordPress sudah dieksploitasi secara aktif di internet, dan celah ini bisa dieksekusi oleh penyerang yang bahkan tidak punya akun di situs Anda.

Masalahnya sederhana tapi mematikan: penyerang dapat mengunggah file PHP lewat formulir plugin, lalu menjalankannya di server. Begitu berhasil, situs bisa diambil alih total — mulai dari pemasangan web shell, pencurian data pengunjung, sampai pembuatan akun administrator palsu.

Detail celah: CVE-2026-85097

Bricksforge adalah plugin yang dipasang bersama tema Bricks, sebuah page builder visual untuk WordPress. Plugin ini menjual diri sebagai “serbaguna”: animasi, formulir lanjutan, hingga urutan video saat halaman digulir. Celah yang diberi kode CVE-2026-85097 berdampak pada Bricksforge versi 3.1.8.9 dan semua versi di bawahnya.

Perusahaan keamanan Patchstack mendeteksi upaya eksploitasi mulai 7 Oktober 2026 pukul 21.47 UTC. Pihak Bricksforge sendiri telah merilis perbaikan pada versi 3.1.8.10, dan kini versi terbaru sudah mencapai 4.0.1.

Bagaimana penyerang melakukannya

Akar masalahnya ada pada ketidakcukupan validasi pada kolom url di dalam parameter temporaryFileUploads saat formulir dikirim. Menurut penjelasan Wordfence, serangan berjalan dalam empat langkah:

1. Penyerang meminta nonce yang sah melalui endpoint AJAX bricksforge_regenerate_nonce.
2. Penyerang mengunggah file polyglot GIF/PHP ke direktori unggahan sementara. Di tahap ini validasi tipe MIME masih berjalan normal, jadi file lolos.
3. Penyerang mengirim formulir dengan parameter temporaryFileUploads yang dimanipulasi: jalur file di server menunjuk ke file GIF yang sudah lolos validasi, tetapi kolom url berakhiran ekstensi .php.
4. Bricksforge mempercayai metadata yang dikirim dan meletakkan isi file di lokasi PHP tersebut. Saat file itu diakses, kode di dalamnya dieksekusi sebagai kode server.

Agar tidak terdeteksi filter ekstensi, aktivitas eksploitasi memakai variasi seperti ekstensi alternatif (.php5, .php7, .phtml), manipulasi huruf besar-kecil (.PHP, .Php, .pHp), sampai ekstensi yang di-encode (.%70hp). Pola ini menunjukkan eksploitasi otomatis lewat jaringan proxy yang berputar, bukan serangan bertarget tunggal. Tercatat 63 alamat IP unik, dengan enam di antaranya menyumbang sekitar 46% dari seluruh permintaan.

Langkah perbaikan yang harus dilakukan hari ini

1. Cek versi plugin. Masuk ke wp-admin → Plugins, cari “Bricksforge”, lihat nomor versinya. Bisa juga lewat terminal dengan perintah wp plugin list --status=active.
2. Perbarui ke versi 3.1.8.10 atau lebih baru (idealnya ke rilis terbaru, 4.0.1). Patch sudah tersedia; tidak ada alasan menunda.
3. Kalau belum bisa segera memperbarui, nonaktifkan plugin Bricksforge untuk sementara sampai proses pembaruan selesai. Situs mungkin kehilangan animasi atau formulir, tapi jauh lebih baik daripada kehilangan seluruh situs.
4. Audit jejak serangan. Periksa log akses untuk permintaan ke endpoint /wp-json/bricksforge/v1/form_submit yang membawa parameter temporaryFileUploads, pengiriman formulir berulang dari satu IP, dan permintaan mencurigakan ke direktori /wp-content/uploads/bricksforge/tmp/.
5. Cari file asing. Lihat isi folder /wp-content/uploads/bricksforge/tmp/ — file berekstensi PHP di sana adalah tanda kompromi. Periksa juga daftar plugin terpasang dan akun administrator yang tidak Anda buat.

Dua plugin lain juga sedang diserang

Bricksforge bukan satu-satunya. Penyerang yang sama sedang menyalahgunakan celah XSS pada WPC Product Bundles for WooCommerce (CVE-2026-93836, CVSS 7.1) dan Ninja Forms (CVE-2026-94504, CVSS 7.1). Payload JavaScript bernama x.js disuntikkan, lalu memanfaatkan sesi wp-admin milik korban untuk memasang plugin berbahaya, membuat akun administrator baru, dan menanam mekanisme persistensi tersembunyi. Jadi meski CVSS-nya lebih rendah, dampaknya sama seriusnya.

Kebiasaan yang mencegah kejadian serupa

• Patch rutin, bukan reaktif. Jadwalkan pengecekan pembaruan plugin, tema, dan core WordPress minimal sekali seminggu — khususnya untuk situs dinas, desa, dan sekolah yang jam aktifnya jelas.
• Pasang web application firewall (WAF) di depan situs. Menurut laporan intelijen ancaman Wordfence triwulan II 2026, firewall yang kuat dan hardening konfigurasi membantu menahan lalu lintas berbahaya sebelum sampai ke situs.
• Batasi jumlah plugin. Setiap plugin tambahan adalah permukaan serangan baru. Hapus plugin yang tidak terpakai, bukan hanya dinonaktifkan.
• Aktifkan autentikasi dua faktor untuk semua akun administrator, dan pisahkan peran editor, penulis, serta admin.
• Backup terjadwal ke lokasi terpisah plus pemindaian malware berkala, agar pemulihan tidak bergantung pada tebusan atau belas kasihan penyerang.

Untuk pengelola TI pemerintah daerah dan sekolah yang mengurus puluhan situs sekaligus, cara paling aman adalah menetapkan satu hari pemeliharaan tetap setiap bulan: perbarui semua plugin, cek akun admin, tinjau log, lalu simpan laporan singkat. Celah seperti Bricksforge ini membuktikan bahwa jarak antara “versi ketinggalan satu angka” dan “situs diambil alih” bisa kurang dari satu hari.

Sumber: The Hacker News — Attackers Exploit CVSS 10.0 Bricksforge WordPress Flaw Enabling Unauthenticated RCE; Bricksforge Version Changelog; Wordfence Quarterly WordPress Threat Intelligence Report Q2 2026.