Os ataques empezaron antes de que o fallo se fixese público. A pregunta xa non é se actualizas, senón desde cando estás exposto.
Pensas que a seguridade dunha web se resolve actualizando «cando haxa un oco»? Co que acaba de pasar con Bricksforge, esa regra queda corta. Segundo a firma de seguridade Patchstack, os intentos de ataque empezaron o 7 de outubro, un día antes de que o fallo se divulgase.
O complemento, un engadido para sitios feitos con Bricks, tiña unha vulnerabilidade crítica rexistrada como CVE-2026-85097. Afecta ás versións ata a 3.1.8.9 e quedou corrixida na 3.1.8.10.
Que permite facer o fallo
Ao parecer, calquera persoa sen conta podía subir un ficheiro a través dun formulario do plugin e acabar executando código no servidor. Non fai falta ser administrador, nin ter un contrasinal roubado. Cos datos das fontes, o ataque aproveita que o plugin se fía de datos que manda o propio visitante, e así un ficheiro con aparencia de imaxe acaba convertido en PHP executable.
Dito sen tecnicismos: é como deixar que un visitante cambie a etiqueta dunha caixa e dea por boa a nova etiqueta. Se a etiqueta di «PHP», o servidor executa o contido.
O que se sabe do ataque
Patchstack calcula que hai uns 6.000 sitios con este plugin. As súas observacións falan de actividade automatizada, con decenas de direccións IP e mensaxes case idénticas, o que apunta a un ataque en masa e non a un golpe dirixido. As fontes non atribúen o ataque a ningún grupo concreto.
Que facer hoxe
O primeiro paso é actualizar Bricksforge á 3.1.8.10 ou posterior. O segundo, se o plugin estivo instalado nestes días, mirar se hai rastros. Unha das fontes recomenda revisar os rexistros do servidor e buscar ficheiros PHP inesperados no cartafol de subidas, en especial no directorio temporal de Bricksforge e con nomes do tipo login_admin_ seguidos de caracteres. Se non podes actualizar de inmediato, Patchstack ofrece unha regra de mitigación propia, pero non substitúe o parche.
Se xestionas webs de clientes, o razoable é facer a revisión antes de que o cliente pregunte.
A nosa lectura
Esta é a letra pequena do mantemento web: o parche non te protexe do que pasou antes de instalalo. Actualizar é o mínimo; saber desde cando estabas exposto é o que separa un susto dun problema serio. E para unha axencia, ter un inventario de plugins por cliente deixou de ser un luxo.
