Qué ha confirmado la alerta
El 8 de octubre de 2026, Patchstack publicó una alerta sobre CVE-2026-85097, una vulnerabilidad crítica en Bricksforge para WordPress. El aviso describe una subida arbitraria de archivos sin autenticación que puede acabar en ejecución de código PHP en el servidor. No es solo una debilidad teórica: Patchstack sitúa el primer intento observado el 7 de octubre a las 21:47:17 UTC y documenta actividad automatizada posterior.
El registro de CVE, asignado por Wordfence como autoridad de numeración, describe el mismo problema como una validación insuficiente de un campo controlado por el atacante. Recoge una puntuación CVSS de 9,8 y considera afectadas todas las versiones hasta la 3.1.8.9. Patchstack presenta su valoración como 10,0. La diferencia de puntuación no cambia la decisión operativa: una instalación vulnerable debe actualizarse con prioridad.
Qué puede conseguir un atacante
El problema está en el flujo de subida de archivos de Pro Forms. La primera fase comprueba el tipo declarado, pero una fase posterior confía en parte de la información que llega desde el navegador. Esa frontera de validación permite que un atacante no autenticado fuerce la escritura de un archivo en una ubicación que el servidor puede interpretar como PHP.
En términos de riesgo, la cadena puede pasar de una petición remota a ejecución de código en el sitio. Eso podría permitir modificar contenido, establecer persistencia o leer datos sensibles accesibles para el proceso de WordPress. La existencia de la vulnerabilidad no demuestra que todos los sitios afectados hayan sido comprometidos, pero sí reduce mucho el margen para esperar a la siguiente ventana de mantenimiento.
La alerta no debe confundirse con un problema limitado a formularios que acepten documentos. El alcance general de Pro Forms aparece en la corrección adicional publicada por el fabricante en la versión 4.0.1, incluso cuando un sitio no tiene campos de subida visibles.