kort antwoord
Aanvallers misbruiken sinds 7 oktober 2026 een kritiek lek in de WordPress-plug-in Bricksforge (versie 3.1.8.9 en lager). Update naar 3.1.8.10 of nieuwer en controleer of er onbekende PHP-bestanden op je site staan.
Gebruik je WordPress met de Bricks-pagebuilder en de plug-in Bricksforge? Dan is dit nieuws voor jou. Er is een kritiek beveiligingslek in Bricksforge en aanvallers misbruiken het al. Hieronder lees je wat er speelt, voor wie het geldt en wat je vandaag doet.
Wat is er aan de hand?
Bricksforge is een uitbreiding op Bricks, een pagebuilder (een hulpmiddel om pagina’s in WordPress samen te stellen). Het lek heeft de code CVE-2026-85097. Een bezoeker zonder account kan er een PHP-bestand mee op je site zetten en laten uitvoeren. Dat heet remote code execution: de aanvaller voert zijn eigen programmacode uit op jouw server.
Volgens The Hacker News zag beveiligingsbedrijf Patchstack de eerste aanvalspogingen op 7 oktober 2026 om 21.47 uur UTC. Patchstack registreerde verkeer van 63 verschillende IP-adressen. Betrokken zijn alle versies tot en met 3.1.8.9.
Hoe werkt de aanval?
Je hoeft de techniek niet te kennen, maar het helpt om te zien waarom dit zo gevaarlijk is. Volgens Patchstack controleert de plug-in bij het uploaden of een bestand een afbeelding is, maar vertrouwt hij later op gegevens die de browser meestuurt. Zo gaat het:
- De aanvaller haalt zonder in te loggen een geldig beveiligingstoken op bij de plug-in.
- Hij uploadt een bestand dat eruitziet als een GIF, maar ook PHP-code bevat.
- Bij het versturen van een formulier past hij de metagegevens aan, zodat het bestand met een PHP-extensie wordt opgeslagen.
- Zodra het bestand wordt opgevraagd, draait de code.
Patchstack zag dat aanvallers extensies variëren (zoals .php5 of .phtml) en die op verschillende manieren coderen om filters te omzeilen. Bijna alle pogingen liepen via het formulier-onderdeel van de WordPress REST API.
Welke versie is veilig?
Hier zijn de bronnen niet helemaal eenduidig. Patchstack raadt versie 3.1.8.10 of nieuwer aan. De ontwikkelaar noemt daarnaast een reparatie van de uploadfunctie van Pro Forms in versie 4.0.1, uitgebracht op 8 oktober. Het is uit de bronnen niet duidelijk of dit dezelfde reparatie is. Ons advies: installeer de nieuwste beschikbare versie, dan zit je in elk geval boven beide nummers.
Ook de ernst wordt verschillend gewaardeerd. Patchstack geeft het lek een 10,0, de vermelding bij Wordfence een 9,8 op dezelfde schaal. Het verschil zit in de rekenmethode. In beide gevallen is het kritiek.
Wat moet je nu doen?
Werk de volgende punten in deze volgorde af:
- Controleer of je Bricksforge gebruikt. Kijk in WordPress onder Plug-ins. Staat het er niet, dan heb je hier niets mee te maken.
- Update direct. Maak eerst een back-up en installeer dan de nieuwste versie.
- Zoek naar onbekende PHP-bestanden. Patchstack noemt de map /wp-content/uploads/bricksforge/tmp/ als plek om te controleren. In uploadmappen horen normaal geen PHP-bestanden.
- Bekijk je serverlogs. Zoek naar verzoeken aan /wp-json/bricksforge/v1/form_submit met de parameter temporaryFileUploads, rond en na 7 oktober.
- Controleer je beheerders. Staan er gebruikers of plug-ins die je niet kent, dan is er mogelijk iets binnengekomen.
Patchstack heeft ook een filterregel die aanvallen op verkeersniveau blokkeert. Die is bedoeld als tijdelijke noodoplossing en vervangt de update niet.
Is mijn site nu gehackt?
Niet per se. Volgens de verslagen zijn het pogingen, en niet elke site waarop het is geprobeerd is ook overgenomen. Patchstack heeft de aanvallers niet aan één groep toegeschreven. Heb je een kwetsbare versie gedraaid terwijl de aanvallen liepen, dan is controleren wel verstandig.
Updaten dicht het gat, maar haalt een eventueel al geplaatst bestand niet weg. Een geslaagde aanval kan volgens de bronnen leiden tot een zogeheten webshell (een verborgen achterdeur), inzage in gevoelige gegevens, aangepaste content of blijvende toegang voor de aanvaller. Voor een webshop of een site met klantgegevens is dat meer dan een schoonheidsfoutje: je moet dan ook nadenken over je meldplicht onder de AVG. Twijfel je, laat dan een specialist je site doorlichten voordat je hem weer als schoon beschouwt.
Wat leert dit over je plug-ins?
Dit is niet het eerste lek van de afgelopen weken. Over de updates van WordPress zelf schreven we al in WordPress 7.1.2 en 7.1.3: update direct je site. Het patroon is steeds gelijk: een lek wordt bekendgemaakt en binnen dagen proberen aanvallers het uit. Een plug-in die je niet bijwerkt, is dan je zwakste plek.
Wat je structureel kunt doen:
- Gebruik zo min mogelijk plug-ins en verwijder wat je niet gebruikt.
- Laat updates niet weken liggen. Zie Website onderhoud: wat houdt het in? voor een vast ritme.
- Zorg voor back-ups die je kunt terugzetten, op een andere plek dan je site zelf.
- Zorg dat iemand meldingen over beveiligingslekken in jouw plug-ins in de gaten houdt.
Wil je dat niet zelf bijhouden? Dat is precies wat onderhoud en hosting inhoudt: updates, back-ups en bewaking, zodat je niet zelf op nieuwsberichten hoeft te letten.
Veelgestelde vragen
Nee. Het lek zit in de plug-in Bricksforge, niet in de Bricks-pagebuilder zelf. Controleer wel of Bricksforge niet als losse plug-in is geïnstalleerd.
Als je niet direct kunt updaten, is deactiveren de veiligste tussenoplossing. Het filter van Patchstack is een noodmaatregel, geen vervanging van de update.
Zoek naar PHP-bestanden in uploadmappen, zoals de tmp-map van Bricksforge, en bekijk je serverlogs en beheerderslijst. Twijfel je, laat dan een specialist je site doorlichten.
Patchstack noemt 3.1.8.10 als versie met de reparatie en de ontwikkelaar noemt 4.0.1 voor de uploadfunctie van Pro Forms. De bronnen leggen het verband niet uit. Installeer daarom de nieuwste versie.