Eine Schwachstelle mit dem höchsten denkbaren Schweregrad hält seit dem 7. Oktober 2026 WordPress-Betreiber in Atem. Die Sicherheitsfirma Patchstack hat CVE-2026-85097 im Page-Builder-Plugin Bricksforge entdeckt und mit dem Höchstwert CVSS 10,0 bewertet. Angreifer brauchen kein Passwort, keinen Account und keine Interaktion eines Opfers. Sie laden eine präparierte Datei hoch und übernehmen damit die vollständige Kontrolle über den Webserver. Für Österreichs Agenturen, Onlineshops und Behördenseiten, die Page-Builder-Plugins für schnelle Website-Erstellung nutzen, ist das ein Weckruf mitten in der heißen Phase des Jahresendgeschäfts.
Die Lücke reiht sich in eine Serie kritischer Meldungen ein, die CERT.at allein im Oktober 2026 veröffentlicht hat. Gleichzeitig zeigen Zahlen der Patchstack Alliance, dass WordPress-Plugins 2026 so häufig und so schnell angegriffen werden wie nie zuvor. Dieser Artikel ordnet CVE-2026-85097 technisch ein, vergleicht sie mit anderen aktuellen Schwachstellen und zeigt, was Betreiber jetzt tun müssen.
Die Schwachstelle im Überblick: CVE-2026-85097 und CVSS 10,0
Bricksforge ist eine Erweiterung für den beliebten Page-Builder Bricks und bringt zusätzliche Module wie Formulare, Animationen und dynamische Inhalte in WordPress-Websites. Genau in einem dieser Zusatzmodule, den sogenannten Pro Forms, steckt die Lücke, die als CVE-2026-85097 registriert ist. Patchstack bewertet den Fehler mit CVSS 10,0, dem höchsten Wert der Skala, weil er ohne Authentifizierung aus der Ferne ausnutzbar ist und zur vollständigen Serverübernahme führt.
Betroffen sind alle Versionen von Bricksforge bis einschließlich 3.1.8.9. Der Hersteller hat mit Version 3.1.8.10 einen Patch veröffentlicht, der die fehlerhafte Validierung schließt. Wer das Update noch nicht eingespielt hat, betreibt eine Website, die sich laut den vorliegenden Patchstack-Daten bereits aktiv angreifen lässt. Die Einstufung als unauthentifizierte Datei-Upload-Lücke mit anschließender PHP-Codeausführung macht CVE-2026-85097 zu einer der kritischeren Plugin-Schwachstellen des gesamten Jahres 2026.
So läuft der Angriff ab: Nonce-Trick und PHP-Polyglot
Technisch nutzt der Angriff eine Kombination aus zwei Designfehlern. Zunächst holt sich der Angreifer über den AJAX-Endpunkt bricksforge_regenerate_nonce ein gültiges Sicherheitstoken, ohne sich anmelden zu müssen. Mit diesem Token lädt er anschließend eine Datei hoch, die gleichzeitig wie ein gültiges GIF-Bild und wie PHP-Code aussieht, ein sogenanntes Polyglot-Dateiformat. Diese Technik ist in der Sicherheitsforschung seit Jahren bekannt, wird aber immer wieder neu kombiniert, um Upload-Filter zu umgehen.
Der eigentliche Trick liegt im Parameter temporaryFileUploads. Bricksforge prüft hier zwar den tatsächlichen Dateipfad auf dem Server korrekt, vertraut aber einer separat übergebenen URL, die auf eine Datei mit der Endung .php verweist. Der Server validiert also den falschen Wert und führt am Ende Code aus einer Datei aus, die der Angreifer selbst kontrolliert. Das Ergebnis ist eine vollständige Remote-Code-Execution ohne jede Form von Zugangsdaten, was den Angriff auch für automatisierte Botnetze attraktiv macht, die im großen Stil nach verwundbaren Installationen scannen.
Zeitlinie der Attacke: Von der Entdeckung bis zur Ausnutzung
Patchstack hat die aktive Ausnutzung der Lücke exakt dokumentiert. Die ersten Angriffsversuche registrierte das Unternehmen am 7. Oktober 2026 um 21:47 Uhr Ortszeit, nur Stunden nachdem die Schwachstelle in der eigenen Datenbank erfasst worden war. Der ausführliche Bericht von Patchstack folgte am 8. Oktober 2026. Diese extrem kurze Zeitspanne zwischen Entdeckung und erstem Exploit-Versuch ist kein Einzelfall, sondern passt zu einem Muster, das Patchstack in seinem Jahresbericht für 2025 beschreibt: Bei hochkritischen Lücken vergehen im Schnitt nur rund fünf Stunden zwischen Veröffentlichung und erster Ausnutzung, und etwa die Hälfte aller Hochrisiko-Schwachstellen wird innerhalb von 24 Stunden angegriffen.
Für Website-Betreiber bedeutet das: Ein Patch-Zyklus von mehreren Tagen oder Wochen, wie er in vielen Agenturen und Unternehmen üblich ist, reicht bei Lücken dieser Kategorie schlicht nicht mehr aus. Wer erst nach dem Wochenende patcht, patcht im schlimmsten Fall einen bereits kompromittierten Server.
Wer ist betroffen? Pro-Forms-Modul und Versionsstand
Betroffen ist jede WordPress-Installation, auf der das Plugin Bricksforge in einer Version bis 3.1.8.9 aktiv ist und die Pro-Forms-Funktion genutzt wird oder zumindest aktiviert bleibt. Da Bricksforge speziell für Agenturen und Freelancer entwickelt wurde, die mit dem Page-Builder Bricks arbeiten, konzentriert sich die Verbreitung stark auf professionell betreute Unternehmens- und Agenturwebsites, nicht auf private Blogs. Das erhöht das Risiko für Datenverlust, weil über solche Seiten häufig Kundendaten, Kontaktformulare und Zahlungsprozesse laufen.
Eine verlässliche Zahl aktiver Installationen aus dem offiziellen WordPress-Verzeichnis liegt für Bricksforge nicht vor, da das Plugin über den eigenen Hersteller-Shop und nicht primär über wordpress.org vertrieben wird. Das macht die Lücke zwar statistisch schwerer zu quantifizieren, verringert aber nicht ihre Relevanz: Gerade Agenturprodukte wie Bricksforge laufen oft auf Dutzenden oder Hunderten Kundenseiten eines einzigen Dienstleisters, wodurch ein einziger ungepatchter Agentur-Account zum Hebel für viele kompromittierte Websites gleichzeitig werden kann.
Diese Vertriebsstruktur außerhalb des offiziellen Plugin-Verzeichnisses hat eine weitere Konsequenz. WordPress selbst kann bei offiziell gelisteten Plugins im Ernstfall eingreifen, etwa indem ein Eintrag aus dem Verzeichnis entfernt oder Nutzer im Dashboard direkt gewarnt werden. Bei Zusatzprodukten wie Bricksforge, die über eine eigene Lizenzverwaltung und einen eigenen Update-Server laufen, fehlt dieser zentrale Sicherheitsmechanismus. Betreiber sind hier stärker auf die Kommunikation des Herstellers selbst sowie auf externe Quellen wie Patchstack angewiesen, um überhaupt von einer kritischen Lücke zu erfahren.
Patchstack als Entdecker: Rolle der Sicherheitsforschung
Patchstack hat sich in den vergangenen Jahren zu einer der zentralen Instanzen für WordPress-Sicherheitsforschung entwickelt und betreibt sowohl eine öffentliche Schwachstellendatenbank als auch ein Bug-Bounty-Programm, die Patchstack Alliance. Im Fall von CVE-2026-85097 übernahm das Unternehmen sowohl die technische Analyse als auch die Beobachtung der aktiven Ausnutzung in freier Wildbahn. Wer die ursprüngliche Schwachstelle im Code selbst gemeldet hat, geht aus den öffentlich zugänglichen Angaben nicht hervor, was bei vielen Einträgen in Schwachstellendatenbanken so ist, wenn Melder anonym bleiben wollen.
Bemerkenswert ist das Tempo: Zwischen dem Eintrag in der Datenbank und der ersten beobachteten Ausnutzung lagen nur wenige Stunden. Das zeigt, dass Angreifer heute automatisiert neue Schwachstellenmeldungen überwachen und ihre Scan-Infrastruktur praktisch in Echtzeit auf neue CVEs umstellen. Sicherheitsforschung und kriminelle Ausnutzung laufen damit faktisch parallel ab, nicht mehr nacheinander.
WordPress-Sicherheit 2026 in Zahlen
Patchstack hat im Rahmen des Berichts “State of WordPress Security” Kennzahlen veröffentlicht, die den Rahmen zeigen, in dem ein Fall wie Bricksforge steht. Die folgende Tabelle fasst die wichtigsten Werte zusammen.
| Kennzahl | Wert | Anmerkung |
|---|---|---|
| Neue Schwachstellen 2025 (Patchstack Alliance) | 11.334 | plus 42 Prozent gegenüber 2024 |
| Hochkritische Schwachstellen | 1.966 | entspricht 17 Prozent aller Meldungen |
| Zuwachs stark ausnutzbarer Lücken | plus 113 Prozent | gegenüber dem Vorjahr |
| Anteil Plugins an neuen Lücken | 91 Prozent | Themes kommen auf 9 Prozent |
| Mittlere Zeit bis zur ersten Ausnutzung | rund 5 Stunden | bei Hochrisiko-Schwachstellen |
| Hochrisiko-Lücken, in 24h ausgenutzt | rund 50 Prozent | laut Patchstack-Jahresbericht |
Die Zahlen machen deutlich, dass CVE-2026-85097 kein Ausreißer ist, sondern ein typisches Beispiel für das, was Patchstack als beschleunigten Ausnutzungszyklus bezeichnet. Plugins sind inzwischen die klar dominierende Angriffsfläche im WordPress-Ökosystem, und die Zeit zwischen Entdeckung und erstem Angriff schrumpft von Jahr zu Jahr weiter.
Weitere kritische Lücken im Oktober 2026
Bricksforge steht nicht allein. CERT.at hat im Oktober 2026 gleich mehrere kritische Schwachstellen in weit verbreiteter Software gemeldet, von denen einige bereits aktiv angegriffen werden. Die folgende Übersicht ordnet die wichtigsten Fälle des Monats chronologisch ein.
| Datum | Produkt / CVE | Schwere | Kurzbeschreibung |
|---|---|---|---|
| 2. Oktober 2026 | WP Statistics (unter 14.16.14) | CVSS 7,2, hoch | Unauthentifizierter gespeicherter XSS, rund 500.000 aktive Installationen |
| 7. Oktober 2026 | Bricksforge, CVE-2026-85097 | CVSS 10,0, kritisch | Unauthentifizierter Datei-Upload führt zu PHP-Codeausführung |
| 14. Oktober 2026 | Google Chrome 155 | 7 von 37 Lücken kritisch | Mögliche Codeausführung außerhalb der Browser-Sandbox |
| 15. Oktober 2026 | Cisco Secure Email Gateway, CVE-2026-76519 | kritisch, aktiv ausgenutzt | Schwachstelle in der Advanced-Malware-Protection-Funktion bei E-Mail-Anhängen |
| Oktober 2026 | Ghostscript, CVE-2026-39919 (unter 10.08.0) | kritisch | Mögliche Übernahme von Servern, die PDF-Dateien verarbeiten |
| Oktober 2026 | F5 BIG-IP Access Policy Manager, CVE-2026-94127 | kritisch, aktiv ausgenutzt | Schwachstelle in der Zugriffssteuerung von F5-Appliances |
Diese Dichte an kritischen Meldungen innerhalb von nur drei Wochen zeigt, wie breit die Angriffsfläche moderner IT-Infrastruktur inzwischen ist. Vom Content-Management-System über Netzwerk-Appliances bis zum Browser auf dem Mitarbeitergerät: Praktisch jede Softwareschicht liefert im Oktober 2026 mindestens eine kritische Schlagzeile.
Historischer Kontext: Page-Builder-Plugins als Dauerrisiko
Page-Builder- und Formular-Plugins zählen in den jährlichen Auswertungen von Patchstack schon länger zu den Kategorien mit besonders vielen kritischen Meldungen. Der Grund liegt in ihrer Funktionsweise: Diese Plugins erlauben es Nutzern, Inhalte, Layouts und Formularfelder dynamisch zu erzeugen, oft inklusive Datei-Uploads für Bilder, Dokumente oder Formularanhänge. Jede Stelle, an der ein Plugin Daten von außen entgegennimmt und auf dem Server verarbeitet, ist potenziell ein Einstiegspunkt für Angreifer.
Mit dem Zuwachs von 113 Prozent bei stark ausnutzbaren Lücken, den Patchstack für 2025 ausweist, wächst speziell dieses Risiko schneller als das allgemeine Schwachstellenaufkommen. Bricksforge fügt sich damit in einen längeren Trend ein, in dem gerade die Erweiterungen, die Redakteuren und Agenturen am meisten Komfort bieten, gleichzeitig die größte technische Angriffsfläche mitbringen. Komfortfunktionen wie Datei-Uploads, dynamische Formulare und Drag-and-Drop-Editoren sind aus Nutzersicht praktisch, aus Sicherheitssicht aber strukturell riskanter als einfache, statische Inhalte.
Marktauswirkungen für Agenturen und Shops in Österreich
WordPress betreibt weltweit und auch in Österreich einen erheblichen Teil aller Websites, von kleinen Vereinsseiten über Unternehmensauftritte bis zu Onlineshops auf Basis von WooCommerce. Für Agenturen, die Page-Builder wie Bricks und Zusatzpakete wie Bricksforge als Standardwerkzeug einsetzen, bedeutet eine Lücke mit CVSS 10,0 potenziell einen Dominoeffekt über viele Kundenprojekte hinweg. Eine kompromittierte Agentur-Vorlage oder ein nicht aktualisiertes Staging-System kann ausreichen, um gleich mehrere Kundenseiten gleichzeitig zu gefährden.
Die wirtschaftlichen Folgen eines erfolgreichen Angriffs reichen von Suchmaschinen-Blacklisting über Datenverlust bei Kontaktformularen bis zu Reputationsschäden, wenn eine kompromittierte Seite zum Verteilen von Schadsoftware oder Spam missbraucht wird. Fachmedien wie it&t business beobachten, dass Sicherheitsvorfälle bei kleinen und mittleren Unternehmen in Österreich oft erst mit erheblicher Verzögerung bemerkt werden, weil dedizierte IT-Sicherheitsressourcen in diesem Segment selten vorhanden sind. Genau diese Verzögerung ist bei einer Lücke, die laut Patchstack-Daten im Schnitt innerhalb von Stunden ausgenutzt wird, besonders gefährlich.
Vergleich der Reaktionsgeschwindigkeit: Patchstack, Wordfence und Co.
Im WordPress-Sicherheitsökosystem haben sich mehrere Anbieter als zentrale Meldestellen etabliert, wobei Patchstack und Wordfence die beiden mit Abstand sichtbarsten sind. Beide betreiben eigene Schwachstellendatenbanken, eigene Bug-Bounty-Programme und liefern ihren Kunden virtuelle Patches, die eine Lücke zeitweise absichern, bevor der offizielle Hersteller-Patch eingespielt ist. Im Fall von Bricksforge war es Patchstack, das zuerst öffentlich wurde und die Ausnutzung in Echtzeit dokumentierte.
Der Wettbewerb zwischen diesen Anbietern wirkt sich positiv auf die Reaktionsgeschwindigkeit der gesamten Branche aus, weil Hersteller betroffener Plugins unter öffentlicher Beobachtung stehen, sobald eine Lücke dokumentiert ist. Bricksforge reagierte mit der Version 3.1.8.10 vergleichsweise schnell. Dennoch bleibt die entscheidende Schwachstelle im System der Mensch: Ein Patch nützt nichts, wenn Betreiber ihn nicht zeitnah einspielen, und automatisierte Update-Mechanismen sind bei kommerziellen Zusatzplugins außerhalb des offiziellen WordPress-Verzeichnisses seltener standardmäßig aktiviert als bei frei verfügbaren Plugins.
Sofortmaßnahmen: Update, Scan, Monitoring
Betreiber, die Bricksforge einsetzen, sollten als Erstes die Versionsnummer prüfen und auf 3.1.8.10 oder neuer aktualisieren. Danach empfiehlt sich eine gezielte Prüfung des Uploads-Verzeichnisses auf verdächtige Dateien, insbesondere auf Dateien mit doppelten Endungen oder PHP-Dateien an Orten, an denen eigentlich nur Bilder liegen sollten. Da die Lücke bereits aktiv ausgenutzt wird, reicht ein reines Update nicht zwingend aus, wenn der Server vor dem Patch schon kompromittiert wurde.
- Bricksforge umgehend auf Version 3.1.8.10 oder neuer aktualisieren
- Upload-Verzeichnisse auf unbekannte PHP- oder Polyglot-Dateien durchsuchen
- Serverlogs auf Zugriffe auf bricksforge_regenerate_nonce seit dem 7. Oktober 2026 prüfen
- Admin-Zugänge und Datenbank-Passwörter nach einer möglichen Kompromittierung zurücksetzen
- Eine Web Application Firewall oder ein virtueller Patch des Sicherheitsanbieters als zusätzliche Absicherung einsetzen
- Alle weiteren installierten Plugins, insbesondere Formular- und Upload-Funktionen, auf den aktuellen Stand bringen
Wer unsicher ist, ob die eigene Seite bereits betroffen war, sollte im Zweifel einen vollständigen Malware-Scan durchführen und bei Verdacht auf Kompromittierung die Zugangsdaten zum Hosting-Konto und zur Datenbank ändern. Ein einfacher Plugin-Patch allein stellt die Integrität eines bereits übernommenen Servers nicht automatisch wieder her.
Warum Formular-Plugins besonders gefährlich sind
Formularfunktionen wie die Pro Forms von Bricksforge sind aus gutem Grund beliebt: Sie ersparen Entwicklern eigenen Code für Kontakt-, Bewerbungs- oder Bestellformulare. Genau diese Flexibilität macht sie aber auch komplex, weil sie oft mehrere Dateitypen, Validierungsregeln und Speicherorte gleichzeitig verwalten müssen. Jede zusätzliche Konfigurationsoption ist eine zusätzliche Stelle, an der ein Entwickler eine Prüfung vergessen oder falsch implementieren kann, wie der Fehler im temporaryFileUploads-Parameter von Bricksforge zeigt.
Für Website-Betreiber bedeutet das: Formular- und Upload-Funktionen sollten grundsätzlich mit besonderer Vorsicht behandelt werden. Wer eine Upload-Funktion nicht aktiv benötigt, sollte sie deaktivieren, selbst wenn das Plugin sie standardmäßig aktiviert ausliefert. Je weniger Angriffsfläche eine Website aktiv bereitstellt, desto kleiner ist das Risiko, von der nächsten Lücke dieser Art betroffen zu sein.
Ein zusätzlicher Schutzmechanismus liegt in der serverseitigen Konfiguration. Viele Hosting-Umgebungen erlauben es, die Ausführung von PHP-Dateien in Upload-Verzeichnissen grundsätzlich zu blockieren, unabhängig davon, welches Plugin die Datei dort abgelegt hat. Eine solche Regel in der Webserver-Konfiguration hätte den konkreten Angriffsweg von CVE-2026-85097 wirkungsvoll unterbrochen, selbst wenn die Plugin-Lücke selbst noch bestanden hätte. Diese Art von serverseitiger Härtung wird in vielen WordPress-Installationen nicht standardmäßig gesetzt, obwohl sie sich mit wenig Aufwand nachrüsten lässt und gegen eine ganze Klasse ähnlicher Upload-Schwachstellen schützt, nicht nur gegen diesen einen Fall.
Einschätzung für Österreich: CERT.at und Meldepflichten
CERT.at veröffentlicht solche kritischen Schwachstellen regelmäßig in seinen Tagesberichten und ordnet sie für österreichische Betreiber ein. Auch die staatliche Plattform Onlinesicherheit, die vom Bundeskanzleramt betrieben wird, sammelt aktuelle Sicherheitswarnungen für Privatpersonen und kleine Unternehmen, die selten eigene IT-Sicherheitsabteilungen haben. Für Websites, die im Auftrag öffentlicher Stellen oder im Rahmen kritischer Infrastruktur betrieben werden, kann eine Lücke wie CVE-2026-85097 zudem unter bestehende Melde- und Sorgfaltspflichten fallen, abhängig davon, welche Daten über die betroffene Website verarbeitet werden.
Für Agenturen und Unternehmen in Österreich lohnt sich ein Blick in die Tagesberichte von CERT.at als feste Routine, nicht nur als Reaktion auf Einzelfälle. Die Dichte kritischer Meldungen allein im Oktober 2026, von Cisco über Ghostscript bis Bricksforge, zeigt, dass ein wöchentlicher oder sogar täglicher Blick in solche Quellen inzwischen zum Grundrüstzeug jeder Website-Betreuung gehören sollte.
Ein weiterer Punkt betrifft die Hosting-Landschaft. Viele österreichische Hosting-Anbieter betreiben Shared-Hosting-Umgebungen, in denen mehrere Kundenwebsites auf derselben physischen Infrastruktur laufen. Wird eine einzelne Website über eine Lücke wie CVE-2026-85097 kompromittiert, kann sich ein Angreifer unter ungünstigen Umständen lateral zu benachbarten Konten auf demselben Server bewegen, sofern die Isolation zwischen Kundenkonten nicht konsequent umgesetzt ist. Betreiber sollten deshalb bei ihrem Hoster nachfragen, welche Isolationsmechanismen im Einsatz sind, bevor sie sich allein auf Plugin-Updates als Schutzmaßnahme verlassen.
Prognosen: Wie es mit WordPress-Sicherheit weitergeht
Auf Basis der aktuellen Zahlen und des Verlaufs rund um CVE-2026-85097 lassen sich mehrere Entwicklungen für die kommenden Monate ableiten.
- Die Zahl neu gemeldeter WordPress-Plugin-Schwachstellen wird 2026 den Wert von 2025 voraussichtlich erneut übertreffen, da der Trend von plus 42 Prozent gegenüber 2024 sich laut Patchstack-Daten weiter beschleunigt.
- Page-Builder- und Formular-Plugins bleiben eine der am häufigsten betroffenen Kategorien, weil ihre Komplexität mit jeder neuen Funktion weiter zunimmt.
- Die Zeitspanne zwischen Offenlegung und erster Ausnutzung wird sich weiter verkürzen, da Angreifer ihre Scan-Infrastruktur zunehmend automatisiert an neue CVE-Einträge koppeln.
- Kommerzielle Plugins außerhalb des offiziellen WordPress-Verzeichnisses, wie Bricksforge, rücken stärker in den Fokus von Sicherheitsforschern, da automatische Update-Mechanismen dort seltener greifen als bei frei verfügbaren Plugins.
- Agenturen, die mehrere Kundenseiten mit identischer Plugin-Basis betreuen, werden verstärkt auf zentrales Patch-Management setzen müssen, um nicht bei jeder neuen Lücke Dutzende Websites einzeln absichern zu müssen.
Keine dieser Entwicklungen ist überraschend, wenn man die Zahlen der vergangenen zwei Jahre betrachtet. Der eigentliche Unterschied liegt im Tempo: Was früher Wochen dauerte, passiert bei kritischen WordPress-Lücken inzwischen innerhalb von Stunden.
Häufig gestellte Fragen zu CVE-2026-85097
Was ist CVE-2026-85097 genau?
CVE-2026-85097 ist eine kritische Schwachstelle im WordPress-Plugin Bricksforge, die es nicht authentifizierten Angreifern erlaubt, über einen manipulierten Datei-Upload PHP-Code auf dem Server auszuführen. Patchstack bewertet sie mit dem Höchstwert CVSS 10,0.
Welche Bricksforge-Versionen sind betroffen?
Alle Versionen bis einschließlich 3.1.8.9 sind verwundbar. Die Lücke ist erst mit Version 3.1.8.10 behoben.
Wird die Lücke bereits aktiv ausgenutzt?
Ja. Patchstack registrierte die ersten Ausnutzungsversuche am 7. Oktober 2026 um 21:47 Uhr, nur kurze Zeit nach dem Bekanntwerden der Schwachstelle.
Wie erkenne ich, ob meine Website betroffen ist?
Prüfen Sie die installierte Bricksforge-Version im WordPress-Dashboard unter Plugins. Liegt die Version unter 3.1.8.10, ist ein Update nötig. Zusätzlich sollten Serverlogs auf auffällige Zugriffe auf den Endpunkt bricksforge_regenerate_nonce und das Upload-Verzeichnis auf unbekannte PHP-Dateien durchsucht werden.
Reicht ein Update auf Version 3.1.8.10, wenn die Seite schon angegriffen wurde?
Nein. Ein Update schließt nur die Lücke für künftige Angriffe. Wurde der Server bereits kompromittiert, sind zusätzlich ein Malware-Scan, das Zurücksetzen aller Zugangsdaten und gegebenenfalls eine vollständige Bereinigung notwendig.
Warum ist die Pro-Forms-Funktion das Problem?
Die Pro Forms erlauben Datei-Uploads über ein Formularmodul. Ein Fehler im Parameter temporaryFileUploads führt dazu, dass der Server eine vom Angreifer kontrollierte URL mit der Endung .php als vertrauenswürdig behandelt, statt den tatsächlich hochgeladenen Dateipfad korrekt zu validieren.
Gibt es eine offizielle CISA-Einstufung für diese Lücke?
Eine Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen ist aus den vorliegenden Quellen nicht bestätigt. Die aktive Ausnutzung ist jedoch durch Patchstack unabhängig dokumentiert.
Betrifft die Lücke nur Bricksforge oder auch den Page-Builder Bricks selbst?
Die Schwachstelle liegt im Zusatzplugin Bricksforge, nicht im Kernprodukt Bricks. Websites, die ausschließlich Bricks ohne Bricksforge nutzen, sind von CVE-2026-85097 nicht direkt betroffen.