El catálogo de vulnerabilidades explotadas de CISA no suma entradas desde el 4 de octubre —un hueco de 4 días que, medido contra los últimos 12 meses, es rutinario—, así que la nota de hoy sale de las fichas publicadas en NVD. Y ahí aparecieron dos fallas críticas sin autenticar en plugins de WordPress, las dos registradas por Wordfence como autoridad de numeración.
- CVE-2026-85097, en Bricksforge, con 9,8: subida y ejecución de un archivo PHP sin credenciales.
- CVE-2026-17609, en Super Forms, con 9,1: borrado recursivo de carpetas arbitrarias, sin credenciales, incluida la raíz de WordPress.
Qué hace cada una: Bricksforge ejecuta, Super Forms borra
Vale subrayar ese cierre porque es la tercera vez en una semana que aparece la misma forma de error en este sitio. El 1 de octubre fue la regla de autenticación de Cisco que leía la dirección distinto que la API; el 2, el byte nulo de FortiMail. Hoy, un plugin que valida el tipo de un archivo y guarda con el nombre que viene en otro campo.
En el caso de Super Forms hay una condición previa que conviene conocer porque puede sacarte de la lista: la explotación requiere que el administrador haya activado la opción de borrar archivos del servidor después de cada envío. Wordfence aclara igual que es una función documentada y de uso común, así que no es una salvedad que convenga asumir sin mirar.
Y una precisión sobre la clasificación: Wordfence asignó CWE-434, subida de archivos sin restricción, a las dos. Encaja perfecto en la de Bricksforge. En la de Super Forms, que es un borrado por recorrido de rutas y no una subida, la etiqueta queda forzada. No cambia el riesgo, pero sí cambia lo que encontrás si buscás por clase de falla.
Ninguno de los dos está en el directorio de WordPress
Acá está lo que distingue a esta tanda de la falla del núcleo de WordPress que el sitio cubrió hace 11 días, y es lo que más conviene entender si administrás un sitio.
Lo comprobé contra la API del directorio: los dos devuelven "Plugin not found". Bricksforge se vende en el sitio del fabricante como complemento del constructor Bricks, y Super Forms se distribuye a clientes. Eso tiene tres consecuencias prácticas.
La primera es que nadie puede dimensionar la exposición, ni yo ni nadie. Para la falla del núcleo de WordPress pude calcular que los temas nombrados sumaban 450.000 instalaciones activas, porque el directorio publica ese dato. Acá no existe. Cuando leas una cifra de sitios afectados por estas dos fallas, preguntate de dónde salió.
La segunda es que la actualización no llega por el camino habitual. Un plugin de pago se actualiza si su licencia está activa y su propio mecanismo funciona. Si la licencia venció —porque cambió quien administraba, porque se renovó el hosting y no la licencia, porque el sitio lo armó una agencia que ya no trabaja con vos— el sitio sigue funcionando igual y deja de recibir actualizaciones de seguridad sin que nadie avise.
La tercera es que la responsabilidad se difumina. Es la continuación de lo que planteó la guía de seguridad de WordPress del sitio: el hosting cubre una parte, el núcleo se actualiza solo, y los plugins de pago quedan en una zona donde hay que acordar explícitamente quién los mira.
Los dos arreglos salieron 21 días antes, sin decir que eran de seguridad
Esta es la parte que más me llamó la atención al verificar, y la que cambia el consejo práctico.
Vale ser preciso sobre lo que verifiqué y lo que no, porque acá es fácil afirmar de más.
Del lado de Bricksforge: la ficha del CVE dice que son vulnerables las versiones hasta la 3.1.8.9 inclusive, y esa versión es del 28 de agosto. La siguiente publicada es la 4.0.0, del 17 de septiembre, cuyo registro de cambios menciona que "bundles the latest security fixes" y describe un arreglo de escalada de privilegios en otro componente. Lo que no hace, en ninguna parte de la página, es nombrar este CVE. Así que no puedo decir "el fabricante confirma que la 4.0.0 corrige CVE-2026-85097": lo que puedo decir es que la versión vulnerable es la 3.1.8.9 y que la siguiente es la 4.0.0.
Del lado de Super Forms: la ficha dice hasta la 6.3.316 inclusive. El autor fusionó el 17 de septiembre un cambio titulado "fix(security): hardening update" en la rama de soporte prolongado 6.3.x. Ese cambio se fusionó sin descripción, no nombra el borrado de carpetas ni la función señalada en el CVE, y la página no indica en qué número de versión salió. Así que tampoco puedo mapear el arreglo a una versión concreta: lo que corresponde es pedirle al fabricante la última de la rama 6.3.x y confirmar que el número sea mayor que 6.3.316.
La consecuencia práctica no es menor. El lugar donde un administrador prudente mira para decidir si una actualización es urgente —el registro de cambios— no llevaba la señal. Quien leyó el changelog de Bricksforge en septiembre vio un cambio de versión mayor con mejoras y arreglos, no un motivo para actualizar el mismo día. El primer aviso claro es la ficha publicada hoy, 21 días después.
¿A quién afectan las fallas de Bricksforge y Super Forms?
A quien tenga un sitio en WordPress con Bricksforge en la 3.1.8.9 o anterior, o con Super Forms en la 6.3.316 o anterior.
El perfil es bastante concreto. Bricksforge es un complemento del constructor Bricks, así que aparece en sitios armados por agencias o profesionales que eligieron ese constructor, no en instalaciones hechas con el editor por omisión. Super Forms es un constructor de formularios de pago, y los formularios son lo que recibe archivos de afuera, que es justamente el camino de estas fallas.
Dicho de otro modo: esto suele estar en el sitio que te armó alguien más. Y si ese alguien ya no te mantiene el sitio, nadie está mirando las licencias ni las versiones de estos plugins.
Es la misma lógica que en el formulario de Elementor Pro que subía un PHP: el componente que más expuesto está es el que recibe archivos, y en un sitio institucional casi siempre hay uno. Y como en el plugin de inicio de sesión único que daba acceso de administrador, lo que define el riesgo no es cuánta gente usa el plugin sino qué puede hacer el plugin cuando falla.
¿Quién puede ignorar CVE-2026-85097 y CVE-2026-17609?
Quien no tenga ninguno de los dos plugins, que es la mayoría de los sitios en WordPress.
Quien tenga Bricksforge en la 4.0.0 o posterior.
Quien tenga Super Forms en una versión de la rama 6.3.x posterior a la 6.3.316, confirmada con el fabricante.
Y, solo para la de Super Forms, quien tenga desactivada la opción de borrar archivos del servidor después de cada envío. Eso saca a tu sitio de esa falla puntual, aunque conviene actualizar igual y no quedarse con una configuración como única defensa.
Lo que no alcanza para ignorarlas: que el sitio sea "solo institucional" y no tenga datos de clientes. La de Bricksforge termina en ejecución de código en tu servidor, y la de Super Forms puede borrarte el sitio entero. Ninguna de las dos necesita que tengas información valiosa.
¿Cómo sé qué versión de Bricksforge o Super Forms tengo?
- Entrá al panel de WordPress, a Plugins. La versión instalada figura al lado de cada nombre. Compará con 3.1.8.9 y 6.3.316.
- Mirá si el plugin dice que la licencia está activa. Los plugins de pago suelen tener su propia pantalla de licencia, y si está vencida ahí es donde lo dice. Esa pantalla es la que explica por qué el panel nunca te ofreció la actualización.
- Si no administrás el sitio vos, esta es la pregunta concreta para quien lo haga, por escrito: en qué versión están esos plugins y si las licencias están vigentes. Las dos cosas, porque la segunda explica la primera.
Para saber si ya lo usaron contra tu sitio, el síntoma de cada falla es distinto y conviene saber qué buscar:
- Para la de Bricksforge, archivos
.phpnuevos o modificados en los directorios de subidas y en los temporales del plugin, con fecha reciente. Un archivo PHP en una carpeta de subidas no tiene ninguna razón legítima de estar ahí. - Para la de Super Forms, lo notarías: el síntoma es que falten carpetas o que el sitio deje de cargar. No es una falla sigilosa.
Como ninguna de las dos figura como explotada, no hay indicadores publicados del fabricante que buscar, así que esto es revisión general. Y si encontrás un PHP que no pusiste, el problema ya no es actualizar: ahí hace falta restaurar desde una copia anterior, que es el argumento de siempre a favor de tener copias con historia.
¿Qué hago si tengo Bricksforge o Super Forms instalado?
En este orden:
- Mirá las dos versiones hoy. Es una pantalla y resuelve la pregunta.
- Si Bricksforge está en 3.1.8.9 o anterior, pasá a la 4.0.0 o posterior. Tené en cuenta que es un salto de versión mayor, así que corresponde copia de seguridad previa y revisar que el sitio renderice bien después, no solo que cargue. Si tu hosting tiene entorno de pruebas, el salto se prueba ahí antes: la reseña de Hostinger del sitio cuenta un caso donde una actualización de plugin aplicada directo en producción dejó el sitio lento durante horas.
- Si Super Forms está en 6.3.316 o anterior, conseguí la última de la rama 6.3.x con el fabricante y confirmá el número. Si no podés, desactivá mientras tanto la opción de borrar archivos después de los envíos, que es la condición que la falla necesita.
- Revisá el estado de las licencias de todos los plugins de pago del sitio, no solo de estos dos. Una licencia vencida es un plugin que dejó de recibir parches, y es el hallazgo más probable de esta revisión.
- Anotá quién mira esto. Si el sitio lo armó un tercero, el acuerdo sobre quién renueva licencias y aplica actualizaciones conviene que esté escrito, porque es exactamente el hueco donde viven estas dos fallas.
El encuadre más largo de qué cubre el hosting y qué queda de tu lado está en la guía de seguridad de WordPress para PyMEs, y los términos, en el glosario.
Preguntas frecuentes sobre CVE-2026-85097 y CVE-2026-17609
¿Por qué mi panel de WordPress no me avisó de estas actualizaciones?
Porque ninguno de los dos plugins está en el directorio oficial de WordPress, y lo comprobé: la API del directorio devuelve "plugin no encontrado" para los dos. Los plugins de pago se actualizan por un mecanismo propio del fabricante que depende de que la licencia esté activa. Si venció, el plugin sigue funcionando y el panel no muestra nada. Es el modo de falla más silencioso que existe en un sitio en WordPress.
¿Cuántos sitios usan Bricksforge y Super Forms?
No se sabe, y conviene desconfiar de cualquier cifra que circule. El directorio oficial de WordPress publica las instalaciones activas de los plugins que aloja, y ese dato es el que permite dimensionar una falla. Estos dos no están ahí, así que no hay número público. Para la falla del núcleo de WordPress de hace 11 días sí pude calcular las instalaciones de los temas nombrados, justamente porque estaban en el directorio.
¿La versión 4.0.0 de Bricksforge corrige la falla?
Es lo que indica la ficha del CVE por implicación, porque limita el problema a las versiones hasta la 3.1.8.9 inclusive y la siguiente publicada es la 4.0.0. Pero vale la precisión: el registro de cambios del fabricante no nombra este CVE en ninguna parte, así que no hay una confirmación explícita de su parte que yo pueda citar. La acción prudente es estar en 4.0.0 o posterior y, si necesitás certeza, preguntárselo al fabricante.
Tengo Super Forms pero no uso la opción de borrar archivos. ¿Estoy a salvo?
De esa falla puntual, sí, porque la explotación requiere que esa opción esté activada. Dos salvedades. Una: confirmá que de verdad está desactivada en vez de suponerlo, porque Wordfence aclara que es una función de uso común. Dos: una configuración no es una corrección, y cualquiera con acceso al panel puede activarla sin saber lo que implica. Conviene actualizar igual.
¿Conviene evitar los plugins de pago entonces?
No es la conclusión, y sería injusta: los plugins de pago suelen tener más mantenimiento que los gratuitos abandonados, y acá los dos fabricantes ya tenían el arreglo hecho 3 semanas antes del aviso público —publicado en una versión, en el caso de Bricksforge; fusionado en la rama de soporte, en el de Super Forms. Lo que muestra el caso es otra cosa: con un plugin de pago, el camino del parche pasa por una licencia y por el mecanismo del fabricante, no por el panel. Eso hay que administrarlo a propósito —saber qué licencias tenés, cuándo vencen y quién las renueva— en lugar de esperar que el sitio te avise.