Faille Bricksforge exploitée : mettez à jour votre site Bricks sans attendre ⚠️

Si votre site a été construit avec Bricks, le constructeur de pages concurrent d’Elementor, il embarque peut-être Bricksforge, l’extension qui lui ajoute formulaires avancés et animations. C’est son module de formulaires, Pro Forms, qui est en cause, et les gestes à faire tiennent en quelques minutes.

Que s’est-il passé avec Bricksforge ?

Depuis le soir du 7 octobre 2026, des pirates exploitent une faille d’envoi de fichiers dans les formulaires Bricksforge sans avoir besoin d’aucun compte sur le site. La société de sécurité Patchstack a repéré les premières tentatives à 21 h 47 (heure UTC) et publié son analyse détaillée le lendemain.

Lors de l’envoi d’un formulaire, l’extension contrôle le type du fichier joint mais pas le nom sous lequel il est ensuite enregistré. Un fichier présenté comme une image peut donc finir enregistré comme un script PHP, le langage de WordPress, puis être exécuté sur le serveur.

Patchstack a vu des requêtes identiques venir de dizaines d’adresses IP à quelques secondes d’intervalle : ce sont des robots qui balaient le web, pas un pirate qui viserait votre entreprise (SecurityWeek rapporte les mêmes constats). Un site vulnérable a donc pu être visité. Dans ce cas, notre page consacrée aux sites WordPress piratés explique comment nous intervenons.

Pourquoi cette faille est-elle si dangereuse ?

Cette faille est dangereuse parce qu’elle donne à n’importe quel visiteur la possibilité d’exécuter son propre code sur votre serveur, ce que les spécialistes appellent une exécution de code à distance. C’est le niveau de gravité le plus élevé qui existe, d’où la note de 10 sur 10 attribuée par Patchstack (certaines bases l’évaluent à 9,8, ce qui ne change rien en pratique).

Ce premier fichier sert de web shell, une porte d’entrée qui permet de lire et de modifier tout le site. Très souvent, la suite est la même : administrateur caché, redirections vers du spam, vol des données de formulaires et autres portes dérobées qui survivent aux mises à jour.

Les robots continuent de frapper longtemps après la sortie d’un correctif : une faille du même type dans WooCommerce Wholesale Lead Capture, corrigée en février, a encore subi plus de 100 000 tentatives bloquées par Wordfence cet été, selon BleepingComputer.

Votre site est-il concerné ?

Votre site est concerné s’il utilise Bricksforge en version 3.1.8.9 ou antérieure avec le module Pro Forms activé, même si aucun de vos formulaires ne contient de champ d’envoi de fichier. Cette précision vient de l’éditeur lui-même, dans le journal des versions de Bricksforge : le simple fait que Pro Forms soit actif suffit à exposer le site.

Pour le vérifier, ouvrez le menu Extensions, puis Extensions installées, et lisez le numéro de version sous Bricksforge. Si l’extension n’apparaît pas, cette faille ne vous concerne pas.

• Version 3.1.8.9 ou inférieure : site vulnérable, mise à jour urgente.
• Version 3.1.8.10 ou 4.0.0 : la faille CVE-2026-85097 est corrigée, mais d’autres correctifs de sécurité ont suivi.
• Version 4.0.2 ou plus récente : c’est la version que nous recommandons aujourd’hui.

Que faire maintenant pour protéger votre site ?

La première chose à faire est de mettre Bricksforge à jour, puis de vérifier que personne n’est entré avant cette mise à jour. Voici l’ordre que nous suivons.

1. Mettre à jour Bricksforge

Faites une sauvegarde complète, puis installez la dernière version : la 4.0.1 du 8 octobre ajoute un nouveau correctif d’envoi de fichiers et la 4.0.2 du 13 octobre empêche l’exécution de code dans le dossier temporaire des envois. Bricksforge étant payante, la mise à jour n’apparaît en général pas sans licence active, et c’est souvent ainsi qu’un site reste bloqué sur une version vulnérable.

2. Chercher des fichiers PHP suspects

Patchstack recommande de contrôler le dossier wp-content/uploads, en particulier bricksforge/tmp, qui ne doit contenir aucun fichier en .php. Si vous en trouvez un, le site a été compromis et le supprimer ne suffit pas.

3. Contrôler les comptes administrateurs

Ouvrez le menu Comptes et vérifiez qu’aucun administrateur inconnu n’a été créé récemment. Certains pirates savent masquer leur compte dans cette liste, comme nous l’avions expliqué à propos de la faille Ninja Forms et ses administrateurs cachés, donc un contrôle direct dans la base de données reste plus fiable.

4. Renouveler les clés API enregistrées

Si vous avez saisi dans Bricksforge des clés d’accès à des services externes (envoi d’e-mails, CRM), l’éditeur conseille de les renouveler chez chaque service puis de désactiver les anciennes.

Comment savoir si votre site a déjà été piraté ?

Le plus sûr est de contrôler fichiers, comptes et journaux du serveur, car une infection récente ne se voit pas toujours à l’écran. Un scanner de sécurité gratuit donne une première indication sans repérer forcément un fichier caché dans les envois. Certains signes doivent vous alerter : des pages que vous n’avez jamais créées dans Google, des visiteurs renvoyés vers d’autres sites (voir notre guide sur le site WordPress qui redirige vers du spam), un hébergeur qui signale une activité anormale ou des e-mails qui partent sans raison.

Dans ce cas, il faut nettoyer le site en profondeur et refermer la faille, sinon les pirates reviennent par la porte dérobée qu’ils ont laissée. Sur notre page de tarification, cette intervention est estimée à 3 à 6 heures de travail, soit 210 à 420 € TTC au tarif normal.