Bricksforge 脆弱性（CVE-2026-85097）のニュースを見て、「うちのホームページは大丈夫なのか」と気になった方へ向けた記事です。Bricksforge は WordPress でページを作るときに使われる有料の追加機能で、ここにログインなしでサイトに PHP のファイルを置かれてしまう欠陥が見つかりました。2026 年 10 月 7 日（協定世界時）から、実際の攻撃も観測されています。
ホームページは制作会社に任せていて、どんなプラグインが入っているかも知らない。そういう小さなお店や事務所は多いと思います。ただ今回の話は、確かめることがはっきりしていて、手順も短い。何を見て、どう直して、もう入られていたら何を探すのかを、順番に書いていきます。
先に結論：影響を受けるのは、Bricksforge の 3.1.8.9 以前が入っている WordPress サイトです。今日やることは 3 つ。管理画面でバージョンを確かめる、バックアップを取ってから 4.0.1 以降（最新は 4.0.2）に更新する、10 月 7 日以降に見覚えのない PHP ファイルや管理者アカウントが増えていないかを見る。
Bricksforge が入っていなければ、今回の件は対象外です。更新しても、すでに置かれたファイルは消えないので、3 つ目の点検まで済ませてください。
Bricksforge 脆弱性（CVE-2026-85097）の中身と、始まった攻撃
まず、Bricksforge が何なのかから。名前を聞いても、多くの方はピンとこないはずです。サイトを作った人は知っていても、サイトの持ち主は知らない。今回いちばん困るのは、たぶんそこです。
用語：Bricksforge とは、WordPress のページ作成ツール「Bricks Builder」に機能を足す、有料のアドオン（追加機能）です。お問い合わせフォームを作る「Pro Forms」などの機能があり、今回の欠陥はこのフォームのファイル送信の処理にあります。
仕組みをかいつまんで書きます。フォームからファイルを受け取るとき、Bricksforge は最初の送信の段階では「画像かどうか」を確かめています。ところが、フォームを最後に送る段階では、送り手が付けてくる情報をそのまま信じてしまう。そのすき間を使うと、画像のふりをしたファイルを、PHP のプログラムとしてサーバーに置けるというのが今回の欠陥です。置かれた PHP が動けば、外からサイトを操作できる状態になります。
| 項目 | 内容 |
|---|---|
| 識別番号 | CVE-2026-85097 |
| 種類 | 危険な種類のファイルを無制限に受け付ける（CWE-434） |
| 深刻度 | Patchstack 10.0／Wordfence 9.8（最大 10.0） |
| ログイン | 不要 |
| 影響する版 | 3.1.8.9 以前 |
| 修正された版 | 3.1.8.10、4.0.0 以降 |
| 最初の攻撃 | 2026 年 10 月 7 日 21 時 47 分（協定世界時） |
| CVE の公表 | 2026 年 10 月 8 日 |
| 攻撃の送信元 | 63 の IP アドレス |
協定世界時の 10 月 7 日 21 時 47 分は、日本時間では 10 月 8 日の朝 6 時 47 分です。つまり、CVE の番号が世の中に出るより前に、攻撃が始まっていたことになります。ニュースを見てから動くのでは、もともと間に合わない種類の話です。
3.1.8.9 以前の Bricksforge に、ログインなしで任意のファイルをアップロードできる欠陥がある。最初の悪用の試みは 10 月 7 日 21:47:17（協定世界時）に観測され、送信元は 63 の IP アドレス。うち 44 の IP は、同じ中身のリクエスト 56 件を数秒のうちに送っていた。修正版は 3.1.8.10。
出典：Patchstack「Critical Unauthenticated Arbitrary File Upload Vulnerability Exploited in Bricksforge Plugin」
44 の送信元が数秒のうちに同じものを送っている、というのは、人が一件ずつサイトを選んで狙っているというより、機械で一斉に試している様子に見えます。私はここを読んで、「うちみたいな小さなサイトは狙われない」という考えは今回は通らないと思いました。相手はサイトの大きさを見ていません。Bricksforge が入っているかどうかを見ています。
自分のサイトは Bricksforge 脆弱性の対象か。バージョンの確かめ方
確かめるのは WordPress の管理画面です。ログインできる方なら、5 分もかかりません。ログインの方法が分からない方は、この章を飛ばして、最後の「制作会社に任せている場合」の章を読んでください。
- WordPress の管理画面にログインする。多くのサイトでは、サイトのアドレスの後ろに「/wp-admin/」を付けたページが入口です。
- 左のメニューの「プラグイン」→「インストール済みプラグイン」を開く。
- 一覧から「Bricksforge」を探し、名前の下に出ている「バージョン」の数字を見る。
- 3.1.8.9 以前なら対象。3.1.8.10 以上、または 4.0.0 以上なら CVE-2026-85097 は修正済み。開発元は、フォームのアップロードの追加の修正を含む 4.0.1 以降への更新を勧めている。
- 一覧に Bricksforge が無ければ、今回の件は対象外。
数字の見方で迷うのは「3.1.8.9」と「3.1.8.10」の比べ方だと思います。小数ではなく、点で区切った番号を左から順に比べます。最後の「9」と「10」では 10 のほうが新しい、と読んでください。
もう一つ、Pro Forms のフォームでファイルを受け付けていないサイトなら大丈夫か、という疑問があると思います。開発元の更新履歴には、4.0.1 の修正は Pro Forms を有効にしているすべてのサイトに関係し、アップロードの欄が無いサイトも含むと書かれています。フォームの見た目では判断しないでください。
ここ、見落としがちです：Bricksforge は有料の製品です。eSecurity Planet は、管理画面に更新の知らせが出ていないことがあるので、入っているバージョンを自分の目で確かめるよう勧めています。「更新の通知が来ていないから最新のはず」とは考えないでください。
更新の前にバックアップ、更新のあとに鍵の入れ替え
対象だと分かったら、更新します。ただ、ボタンを押す前に一つだけ。3.x の版から 4.x に上げる場合、それは小さな修正ではなく、大きな版の切り替えです。開発元の更新履歴でも、4.0.0（2026 年 9 月 17 日）は新しい機能や作り直しを多く含む大型の更新とされています。
注意：更新の前に、サイトのファイル一式とデータベースの両方をバックアップしてください。大きな版の更新では、作り込んだページの表示が崩れたり、フォームが動かなくなったりすることがあり、戻す先が無いと元の状態に戻せません。サーバー会社の自動バックアップがあるなら、いつの時点のものが残っているかも確かめておきます。
バックアップが取れたら、Bricksforge を更新します。いまの最新は 2026 年 10 月 13 日に出た 4.0.2 です。4.0.1 で入ったアップロードの検査が、ふつうの画像をおよそ 60 枚に 1 枚の割合で弾いてしまう不具合があり、4.0.2 でそれが直されています。フォームで画像を受け付けているサイトなら、4.0.2 まで上げておくほうが困りごとが少ないはずです。
4.0.1（10 月 8 日）は Pro Forms のファイルアップロードの安全上の修正で、更新を強く勧める。CVE-2026-85097 は同じ箇所の欠陥で、3.1.8.10 と 4.0.0 で修正済み。4.0.2（10 月 13 日）に更新したあとは、念のため、ツールの設定に保存している API キーを作り直すことを勧める。
出典：Bricksforge「Version Changelog」
最後の API キーの話は、読み飛ばされやすいところです。API キーとは、ほかのサービス（メール配信や外部のデータなど）につなぐための合い鍵のようなものです。Bricksforge の設定にそうしたキーを入れている場合、更新したあとにキーを新しく発行し直すところまでが、開発元の勧める手順です。キーを入れているかどうか分からなければ、それも制作会社に聞く項目に入れておきましょう。
流れを整理すると、CVE-2026-85097 そのものは 4.0.0 と 3.1.8.10 で直り、同じフォームのアップロードまわりが 4.0.1 でさらに直され、4.0.1 で出た副作用が 4.0.2 で直された、という順番です。私は、一度更新したから終わりと考えず、数日は開発元の更新履歴をのぞいておくくらいでいいと思っています。
もう入られていたら？更新では消えないものの見る場所
ここがいちばん伝えたいところです。更新は、これから入ってくる道をふさぐだけです。更新の前に置かれてしまったファイルや、作られたアカウントは、更新しても残ります。古い版のまま 10 月 7 日以降も公開していたなら、次のところを見てください。
- wp-content/uploads/bricksforge/tmp/ の中に、PHP のファイル（名前が .php などで終わるもの）が無いか
- wp-content/uploads/2026/10/ の中に、見覚えのない PHP のファイルが無いか
- 「login_admin_」で始まる名前の PHP ファイルが無いか
- 管理画面の「ユーザー」に、作った覚えのない管理者アカウントが無いか
- サーバーのアクセスログに、10 月 7 日以降「/wp-json/bricksforge/v1/form_submit」への怪しい送信が無いか
フォルダーの名前や「login_admin_」というファイル名は、Patchstack が攻撃の痕跡として挙げているものです。eSecurity Planet は、少なくとも 10 月 7 日までさかのぼって、ログと WordPress の動きとファイルの変化を見直すよう勧めています。
メモ：uploads フォルダーは、本来は記事やページに使う画像などが入る場所です。ここに PHP のファイルがあること自体が不自然なので、名前に見覚えがあるかどうかに関係なく、見つけたら一度立ち止まってください。
見つけたときに気をつけたいのは、消して終わりにしないことです。1 つ見つかったなら、ほかにも置かれている前提で考えたほうがいい。どこから入ったか、いつからか、ほかに何をされたかは、ファイルやログが残っているほうが追えます。
WordPress のサイトに入り込まれる道は、プラグインの欠陥だけではありません。管理画面のパスワードが弱いと、そこから入られることもあります。今回の点検のついでに、管理者のパスワードも見直しておくと、二重に安心です。
制作会社に任せている場合、何を聞けばよいか
管理画面に入ったことがない、そもそもログインの情報を持っていない。そういう方は、制作会社や管理を頼んでいる業者に聞くのがいちばん確実です。聞き方が分からないと、「大丈夫ですよ」で終わってしまいがちなので、聞くことを決めておきます。
次の 5 つを、そのまま伝えてください。
- うちのサイトに Bricksforge は入っていますか。入っているなら、バージョンはいくつですか
- CVE-2026-85097 の対策として、4.0.1 以降（できれば 4.0.2）に更新しましたか。いつ更新しましたか
- 更新の前に、ファイルとデータベースのバックアップを取りましたか
- 10 月 7 日以降、uploads フォルダーに見覚えのない PHP ファイルや、知らない管理者アカウントが無いか確かめましたか
- Bricksforge の設定に API キーを入れている場合、作り直しましたか
答えが「入っていません」なら、それで今回の件は終わりです。「入っているけど、まだ」なら、いつまでにやるのかを聞いてください。私は、バージョンの数字と、更新した日付の 2 つで答えが返ってくるかを、業者を判断する材料にしていいと思っています。どちらも、管理している人なら数分で調べられることだからです。
よくある質問
Bricksforge を使っているかどうか、どこで分かりますか？
WordPress の管理画面にログインし、左のメニューの「プラグイン」→「インストール済みプラグイン」の一覧に「Bricksforge」があれば使っています。管理画面に入れない場合や入り方が分からない場合は、サイトを作った制作会社に「Bricksforge を使っているか、バージョンはいくつか」と聞くのが確実です。
Bricksforge を更新すれば、もう安心ですか？
更新で穴はふさがりますが、更新の前に置かれたファイルや作られたアカウントは消えません。古い版のまま公開していた場合は、10 月 7 日以降のログ、uploads フォルダーの中の見覚えのない PHP ファイル、管理者アカウントの一覧を確かめてください。不安が残るなら、サイトを管理している業者や専門の人に点検を頼むのが安全です。
Bricksforge を使っていなければ関係ありませんか？
今回の CVE-2026-85097 は Bricksforge の欠陥なので、入っていなければ対象外です。ただ、WordPress のプラグインは入れたまま更新されずに残りやすいので、これを機に使っていないプラグインを削除し、残すものは新しい版が出ていないかを確かめておくと、次に似た話が出たときに慌てずに済みます。
まとめ
Bricksforge 脆弱性（CVE-2026-85097）は、3.1.8.9 以前の版に、ログインなしで PHP のファイルを置かれてしまう欠陥があるというもので、CVE の公表より前の 10 月 7 日（協定世界時）から攻撃が観測されています。修正は 3.1.8.10 と 4.0.0 で入り、開発元はフォームの追加の修正を含む 4.0.1 以降を勧めています。いまの最新は 4.0.2 です。
今日やることは、バージョンを確かめる、バックアップを取ってから更新する、更新では消えない痕跡を探す、の 3 つです。管理画面に入れない方は、前の章の 5 つの質問をそのまま制作会社に送ってください。数字と日付で返事が来れば、それで一区切りです。
