Nutzt du für deine WordPress-Seite den Bricks Builder und hast dort die Erweiterung Bricksforge installiert? Dann ist das hier keine Lektüre für später, sondern für jetzt: Eine kritische Lücke in Bricksforge wird seit dem 7. Oktober aktiv angegriffen, und der Schweregrad liegt beim höchstmöglichen Wert von 10 von 10 [Patchstack].
Was ist passiert?
Bricksforge ist eine der meistgenutzten kostenpflichtigen Erweiterungen für den Bricks Builder, mit rund 6.000 aktiven Installationen [Dr. Web]. In Versionen bis 3.1.8.9 lässt sich über das „Pro Forms“-Modul eine Datei hochladen, ohne dass sich der Angreifer überhaupt einloggen muss. Die Sicherheitslücke trägt die Kennung CVE-2026-85097 und wird von Patchstack mit dem Höchstwert 10,0 bewertet, Wordfence kommt mit 9,8 auf ein fast identisches Ergebnis [Wordfence].
Patchstack beobachtete den ersten automatisierten Angriff bereits am 7. Oktober um 23:47 Uhr deutscher Zeit – am selben Tag, an dem die Lücke überhaupt erst in der eigenen Datenbank auftauchte. Seitdem laufen Angriffe von mindestens 63 unterschiedlichen IP-Adressen [Patchstack].
Wie der Angriff technisch funktioniert
Bricksforge prüft beim Upload zwar den Dateityp, verlässt sich dabei aber auf Angaben, die der Browser selbst mitschickt. Angreifer laden ein „Bild“ hoch, das in Wirklichkeit ein Polyglot ist: eine Datei, die gleichzeitig ein gültiges GIF oder PNG UND lauffähiger PHP-Code ist. Über einen weiteren Parameter wird die Datei anschließend unter einer PHP-Endung abgelegt – und lässt sich danach einfach per Aufruf im Browser ausführen. Kein Passwort, kein Benutzerkonto, keine Interaktion des Website-Betreibers nötig.
Bist du betroffen?
Betroffen sind alle Websites mit Bricksforge in Version 3.1.8.9 oder älter, bei denen das Pro-Forms-Modul aktiv ist. Der Hersteller hat zwei Updates veröffentlicht: Version 3.1.8.10 für die alte Versionslinie und Version 4.0.1 für die aktuelle [Dr. Web]. Weil Bricksforge nicht im offiziellen WordPress.org-Verzeichnis liegt, läuft das Update nicht einfach „automatisch“ über dein WordPress-Dashboard – du brauchst eine aktive Lizenz, um die neue Version herunterzuladen.
Ich betreue selbst mehrere Kundenseiten, die mit Bricks und Bricksforge gebaut sind, und habe heute als Erstes bei allen den Lizenzstatus und die installierte Version geprüft. Genau das würde ich auch dir empfehlen, bevor du irgendetwas anderes liest.
Was du jetzt tun solltest
- Prüfe die installierte Bricksforge-Version in deinem WordPress-Dashboard unter Plugins.
- Update auf 4.0.1 (oder mindestens 3.1.8.10 in der alten Linie) – dafür brauchst du eine gültige Bricksforge-Lizenz.
- Geht ein Update gerade nicht: Deaktiviere das Pro-Forms-Modul oder das gesamte Plugin, bis du updaten kannst.
- Durchsuche deinen Uploads-Ordner und den temporären Bricksforge-Unterordner nach PHP-Dateien, die dort nicht hingehören – auffällig sind Namen, die mit „login_admin“ beginnen [Dr. Web].
- Schau in deine Benutzerliste: Steht da ein Administrator-Konto, das du nicht angelegt hast?
- Findest du verdächtige Dateien oder Konten: Spiele ein Backup von vor dem 7. Oktober zurück und ändere danach alle Passwörter – Admin, Datenbank, FTP/SFTP.
DSGVO, Österreich und Schweiz: Was die Lücke für deine Meldepflicht bedeutet
Das Pro-Forms-Modul speichert in der Regel Namen, E-Mail-Adressen und Formulareingaben deiner Besucher. Wurde deine Seite erfolgreich angegriffen und bestand dadurch ein Risiko für diese Daten, greift Art. 33 DSGVO: Du musst die Verletzung innerhalb von 72 Stunden der Aufsichtsbehörde melden. Das gilt praktisch identisch in Deutschland und Österreich, da beide Länder dieselbe EU-Verordnung anwenden – zuständig ist je nach Sitz der Landesdatenschutzbeauftragte oder die österreichische Datenschutzbehörde. In der Schweiz gilt mit dem revDSG eine vergleichbare, aber eigenständige Meldepflicht an den EDÖB (Art. 24 revDSG) – ebenfalls „unverzüglich“, ohne die starre 72-Stunden-Frist der DSGVO, aber ohne dass du dir deshalb mehr Zeit lassen solltest.
Häufige Fragen
Ist mein Bricks Builder selbst betroffen, auch ohne Bricksforge?
Nein. Die Lücke steckt ausschließlich in der Erweiterung Bricksforge, nicht im Bricks Builder Core. Wer kein Bricksforge installiert hat, ist von CVE-2026-85097 nicht betroffen.
Reicht es, nur das Pro-Forms-Modul zu deaktivieren?
Als Sofortmaßnahme ja, wenn du gerade nicht updaten kannst. Dauerhaft solltest du trotzdem auf die gepatchte Version wechseln – Patchstack bietet für die Übergangszeit zusätzlich eine kostenlose „RapidMitigate“-Regel über seinen Firewall-Dienst an [Patchstack].
Woran erkenne ich, ob meine Seite schon betroffen war?
Prüfe deine Benutzerliste auf unbekannte Administratoren, durchsuche den Uploads- und den Bricksforge-Temp-Ordner nach PHP-Dateien und wirf einen Blick in dein Server-Zugriffsprotokoll auf Zugriffe vom 7. Oktober an. Bei Unsicherheit lohnt sich ein professioneller Scan, bevor du einfach nur updatest.
Ich hoffe, das hilft dir, die Lücke rechtzeitig zu schließen. Falls du unsicher bist, ob deine Seite betroffen ist, oder Hilfe beim Scannen und Bereinigen brauchst, melde dich einfach über mein Kontaktformular – ich unterstütze dich gern dabei, deine WordPress-Seite laufend sicher zu halten. Erst vor wenigen Tagen ging es hier im Blog um eine ganz ähnliche Masche bei Ninja Forms und einem WooCommerce-Plugin – Formular-Plugins sind offenbar gerade ein beliebtes Ziel.
