Атаки на CryptoPayment Gateway угрожают ключам криптокошельков
Исследователи Defused Cyber зафиксировали попытки эксплуатации CVE-2026-81648 в WordPress-плагине CryptoPayment Gateway. Уязвимость имеет максимальную оценку CVSS 10,0 и затрагивает версии 1.2.1–1.2.2, включая последнюю доступную: неавторизованный пользователь может удалять файлы на сервере, менять конфигурацию платёжного шлюза и извлекать сохранённые учётные данные криптокошельков.
Административные действия без авторизации
В Национальной базе данных уязвимостей США указывается, что плагин не выполняет проверку полномочий в одном из AJAX-обработчиков. Из-за этого внешнему пользователю доступны административные операции, которые не должны выполняться без аутентификации.
Последствия включают удаление произвольных файлов на сервере и перезапись конфигурации шлюза. Кроме того, данные кошельков могут быть восстановлены в открытом виде. Речь идёт не только о сбое обработки платежей: изменение настроек и компрометация учётных данных создают риск для криптовалютной инфраструктуры сайта.
Патча пока нет
WPScan не располагает сведениями об исправлении CVE-2026-81648. 28 августа 2026 года плагин был закрыт в каталоге WordPress Plugin Directory и больше не доступен для скачивания. Причину каталог обозначил как проблему безопасности, не раскрывая деталей.
Согласно доступной статистике, CryptoPayment Gateway суммарно скачали 1845 раз, в том числе 20 раз за последние семь дней. Неизвестно, на скольких сайтах расширение остаётся установленным, однако Defused Cyber сообщает о попытках атак в реальных условиях. Зафиксированная исследователями активность исходила от инфраструктуры, продвигающей услуги анонимного VPS-хостинга без KYC.
Что проверить владельцам сайтов
При отсутствии обновления практический шаг для владельцев WordPress-сайтов — удалить CryptoPayment Gateway. После этого необходимо сменить ключи кошельков, поскольку они могли быть доступны при успешной эксплуатации уязвимости.
Также следует проверить конфигурацию платёжного шлюза и изменения файлов на сервере на предмет несанкционированных действий. Для бизнеса этот инцидент подчёркивает необходимость инвентаризации платёжных расширений: если критичный плагин не получает исправления, его эксплуатацию нужно прекратить, а связанные секреты — заменить.