Celah Upload Kritis di Plugin WordPress: Bricksforge, Super Forms, dan Elementor Pro Dieksploitasi

Oleh /

Oktober 2026 menjadi bulan yang sibuk bagi pemilik situs WordPress. Beberapa plugin populer untuk formulir dan page builder ternyata memiliki celah kritis yang memungkinkan penyerang mengunggah dan menjalankan file PHP tanpa login, dan celah tersebut sudah dieksploitasi di dunia nyata. Artikel ini merangkum dua kasus utama: Bricksforge (CVE-2026-85097) serta Super Forms (CVE-2026-14894) yang terkait dengan Elementor Pro (CVE-2026-32475).

Bricksforge: CVE-2026-85097

Bricksforge adalah plugin komersial tambahan untuk page builder Bricks. Celah CVE-2026-85097 memungkinkan penyerang tanpa autentikasi mengunggah dan menjalankan kode PHP sembarang. Wordfence menerbitkan CVE ini pada 8 Oktober 2026 dengan skor CVSS 3.1 9.8, sedangkan Patchstack menilainya 10.0. Kelemahannya tergolong CWE-434 (unggahan file tanpa pembatasan).

Versi terdampak dan perbaikan

  • Terdampak: Bricksforge sampai dengan versi 3.1.8.9. Menurut vendor, situs dengan fitur Pro Forms aktif terdampak, bahkan jika formulirnya tidak punya kolom upload.
  • Perbaikan: 3.1.8.10 di jalur 3.x. Di jalur 4.x, versi 4.0.1 memperbaiki masalah upload terkait dan 4.0.2 (13 Oktober) menambah hardening pada upload dan endpoint REST.

Cara kerja serangan

Patchstack menjelaskan bahwa Bricksforge memeriksa tipe MIME file saat pertama diunggah, tetapi saat formulir dikirim, plugin mempercayai metadata file dari klien, khususnya kolom url di parameter temporaryFileUploads. Secara garis besar, penyerang mengambil nonce dari endpoint AJAX publik, mengunggah file “poliglot” yang lolos sebagai gambar tetapi berisi kode PHP, lalu mengirim formulir dengan url berakhiran .php. Akibatnya isi file ditulis ke lokasi PHP dan bisa dijalankan.

Eksploitasi aktif

Patchstack mendeteksi upaya eksploitasi pada 7 Oktober 2026, bahkan sebelum rekaman CVE dipublikasikan, dari 63 alamat IP unik dengan pola yang menunjukkan serangan otomatis. Perlu dicatat, angka ini adalah upaya serangan, bukan jumlah situs yang berhasil dibobol.

Super Forms: CVE-2026-14894 dan kaitannya dengan Elementor Pro

Wordfence melaporkan telah memblokir lebih dari 440.000 upaya eksploitasi terhadap dua celah plugin WordPress. Yang paling kritis adalah CVE-2026-14894 di plugin Super Forms (CVSS 9.8), yang memungkinkan eksekusi kode tanpa login hanya dengan dua request: satu untuk membuat nonce lewat aksi super_create_nonce, dan satu lagi untuk mengunggah web shell PHP.

Laporan yang sama menyebut celah upload di Elementor Pro, CVE-2026-32475, di mana pemeriksaan ekstensi bisa dilewati dengan mengirim array yang elemen keduanya berisi .php. Perbaikan tersedia di Super Forms 6.3.314 dan Elementor Pro 4.2.2.

Pola yang sama: unggahan file yang terlalu percaya

Ketiga celah ini memiliki pola serupa: fitur upload di formulir yang memvalidasi file di satu tahap, tetapi mempercayai input klien di tahap lain. Begitu file PHP berhasil masuk ke direktori yang bisa diakses web, penyerang bisa memasang web shell, mencuri data, membuat akun admin, atau menjadikan situs bagian dari kampanye spam dan malware.

Langkah yang perlu dilakukan

  1. Periksa plugin Anda. Jika memakai Bricksforge, Super Forms, atau Elementor Pro, segera perbarui ke versi perbaikan di atas atau yang lebih baru.
  2. Aktifkan pembaruan otomatis untuk plugin yang mendukungnya. Untuk plugin premium, pastikan lisensi aktif agar pembaruan bisa diterima.
  3. Blokir eksekusi PHP di folder uploads. Aturan server yang menolak menjalankan file .php di wp-content/uploads mempersempit dampak banyak celah upload, termasuk file sementara Bricksforge di /wp-content/uploads/bricksforge/tmp/.
  4. Telusuri log akses. Untuk Bricksforge, Patchstack menyarankan memeriksa request ke /wp-json/bricksforge/v1/form_submit yang berisi temporaryFileUploads, pengiriman formulir berulang, dan file PHP tak terduga di folder tmp-nya.
  5. Cari tanda kompromi: file PHP baru di folder uploads, akun admin yang tidak dikenal, dan plugin yang tidak pernah Anda pasang.
  6. Jika sudah terinfeksi, memperbarui plugin saja tidak cukup. Bersihkan backdoor, ganti semua password dan salts, atau pulihkan dari backup bersih.
  7. Pertimbangkan WAF yang menerima aturan virtual patching dari penyedia intelijen keamanan WordPress.

Pelajaran

Penyerang kini bergerak sangat cepat, bahkan sebelum CVE resmi terbit. Mengurangi jumlah plugin, memperbarui secara otomatis, dan menerapkan hardening dasar di tingkat server adalah pertahanan paling efektif bagi kebanyakan pemilik situs. Butuh bantuan memeriksa situs Anda di hosting Kudo? Hubungi support@kudo.biz.id.

Referensi

Tinggalkan Komentar

Scroll to Top