Bricksforge 漏洞事件：網站還能打開，不代表沒有安全問題

Bricksforge 漏洞可能讓陌生人不用登入，就把惡意程式放進網站。使用這款 WordPress 外掛的網站，應確認版本、安排安全更新，並檢查更新前是否有可疑活動。一般網站經營者不需要看懂攻擊程式，先確認「網站有沒有用到這個外掛？有沒有人負責維護？」就好。

本文依 2026 年 10 月 12 至 13 日新聞與官方公告整理，2026 年 10 月 15 日再次核對官方更新紀錄。

這幾天，國內外媒體陸續報導 Bricksforge 的重大安全漏洞。資安公司已觀察到攻擊嘗試，並非只有研究人員提出的假設。參考 iThome 報導與 Patchstack 公告。

Bricksforge 是什麼？我的網站也有嗎？

你可以把 WordPress 想成一間店，外掛就是後來加裝的設備，像是表單、預約或動畫功能。

Bricksforge 是其中一款外掛，主要替 Bricks Builder 建站工具增加功能。這次出問題的是 Bricksforge，並不是所有 WordPress 網站都受影響，也不代表只要用了 Bricks Builder 就一定有相同問題。參考 Bricksforge 官方更新紀錄。

如果網站是交給別人製作，可以直接把這段話傳給對方：

請幫我確認網站是否使用 Bricksforge，目前版本是否需要安全更新，以及更新前是否有可疑活動需要檢查。

這次漏洞，可以怎麼理解？

想像店裡設了一個收件窗口，原本只讓客人交照片，卻有人利用流程中的漏洞，把危險的東西混進來。

Bricksforge 這次的問題，也發生在處理上傳檔案的流程。攻擊者可能利用驗證不足的地方，把惡意程式放到網站裡執行，而且不需要先取得網站帳號。參考 Wordfence 漏洞紀錄。

這也是為什麼「我有設很難猜的管理員密碼」，仍然不能代替外掛更新。密碼保護的是登入入口，外掛漏洞可能出現在另一個地方。

要更新到哪個版本？

這次新聞提到的漏洞編號是 CVE-2026-85097，可以把它當成這個安全問題的案件編號。

已確認受影響的是 Bricksforge 3.1.8.9 及以前版本，修補版本為 3.1.8.10。如果你的網站仍在使用這些舊版本，應優先處理。參考 Wordfence 漏洞紀錄。

但事情不只這樣。官方後續又推出安全更新：10 月 8 日的 4.0.1 修正另一項表單上傳問題，並提醒啟用 Pro Forms 的網站，即使沒有設定上傳欄位，也需要更新；10 月 13 日的 4.0.2 則追加多項安全強化。參考 官方更新紀錄。

所以，請維護人員依網站目前的版本，確認適用的官方修補版本。不要只看到版本數字比新聞寫的大，就認為所有問題都已解決。

網站正常、沒有怪畫面，也要檢查嗎？

要。網站是否正常顯示，和有沒有被動過手腳，是兩件不同的事。

部分惡意程式會躲在背景，網站首頁看起來仍然正常。另一方面，收到攻擊請求，也不代表一定已經被入侵，仍需要檢查才能判斷。參考 Patchstack 監測與檢查建議。

對網站經營者來說，這次可以請維護人員協助完成：

• 確認版本：網站是否使用受影響的外掛。
• 更新並測試：套用修補後，確認表單、上傳與寄信仍然正常。
• 回頭檢查：確認更新前是否出現不明檔案或未授權的變更。

更新像是把門鎖修好；檢查則是確認修好之前，有沒有人進來過。兩件事都做，才能比較完整地處理風險。

為什麼網站需要持續維護？

網站上線之後，使用的 WordPress、佈景主題和外掛，還是會不斷更新。有些更新增加功能，有些則是在修補安全問題。

這也是我們認為網站維護適合採用月費服務的原因：有人持續留意問題、安排處理，網站經營者就不用每次看到新聞，才臨時找人救火。

自動化工具可以協助監控漏洞、安排備份與執行例行檢查，但更新後的功能是否正常、異常紀錄是否需要進一步處理，仍需要有人判斷。把工具和維護流程搭配起來，才能減少遺漏，也方便追蹤哪些事情已經完成。

如果你是接案者或代理商，手上同時管理多個客戶網站，這類工作也很適合整理成固定月費方案。服務的價值，在於讓每個網站都有明確的維護責任、檢查紀錄與異常處理窗口。