2026年10月15日 · 独立站技术动态
The Hacker News援引Patchstack披露：WordPress插件Bricksforge曝出最高等级安全漏洞CVE-2026-85097，CVSS评分10.0满分——未授权攻击者无需登录即可上传并执行任意PHP代码，且该漏洞已在野外被积极利用。用Bricks生态搭建的独立站、落地页需要今天就排查。
满分漏洞意味着什么
CVSS 10.0是评分体系的天花板，能拿到这个分数的漏洞通常满足三个条件：无需任何身份验证、远程即可触发、直接拿下系统控制权。CVE-2026-85097全中——攻击者可以向站点上传任意PHP文件并执行，挂马、拖库、篡改结账页都在攻击菜单上。「已在野外被积极利用」意味着这不是理论风险，扫描器正在全网找这个插件。
Bricks是近年WordPress建站圈增长最快的可视化构建器之一，Bricksforge是其热门扩展，跨境独立站用来堆落地页的不在少数。中招站点最典型的后果是：客户支付数据被截获、站点被植入SEO跳转、被当作肉鸡分发恶意软件。
排查与处置步骤
第一步，登录后台确认是否安装Bricksforge：在用的立即升级到官方最新修复版本，暂时用不到的直接停用删除，不要留「装而不用」的插件。第二步，排查入侵痕迹：检查uploads与插件目录有无陌生PHP文件、管理员列表有无陌生账户、定时任务有无异常条目。第三步，发现可疑痕迹的，按被入侵流程处理——隔离站点、更换全部凭证、从干净备份恢复。第四步，开启安全插件的实时规则更新，未来两周盯紧访问日志里的异常POST请求。
Bricksforge漏洞应急清单
- 立即确认是否安装Bricksforge并升级至修复版；
- 不用的插件直接删除而非仅停用；
- 排查uploads目录陌生PHP文件与陌生管理员；
- 疑似中招站点更换全部凭证并从干净备份恢复；
- 开启安全插件规则库实时更新。
常见问题（FAQ）
我的站没装Bricksforge受影响吗？
不受影响。漏洞存在于该插件本身，未安装的站点无需处置，但建议顺手清理闲置插件。
只停用不升级可以吗？
可以止血，但官方修复版发布后建议升级或彻底删除；停用状态下部分漏洞路径仍可能残留风险，删除最干净。
怎么判断站已经被利用？
检查文件变动记录、陌生管理员账户、异常定时任务与访问日志中的可疑POST请求，或用安全插件做全盘扫描。
暂无评论内容