Злоумышленники начали атаковать криптоплатёжный плагин CryptoPayment Gateway для WordPress. Уязвимость с максимальной оценкой опасности позволяет без пароля добраться до реквизитов криптокошельков, менять настройки платежей и удалять файлы сайта. Исправления пока нет.
Попытки эксплуатации зафиксировала компания Defused Cyber. Речь идёт об уязвимости CVE-2026-81648 с оценкой 10 баллов из 10 по шкале CVSS 3.1. Под угрозой находятся версии CryptoPayment Gateway 1.2.1 и 1.2.2. Последняя остаётся самой новой доступной версией плагина, а сведения о выпуске защищённой сборки отсутствуют.
CryptoPayment Gateway предназначен для приёма криптовалюты в интернет-магазинах на WooCommerce, работающих поверх WordPress. Разработчик предусмотрел платежи в Bitcoin, Bitcoin Cash, Litecoin, Dogecoin и других валютах. Для подключения магазина владелец указывает адреса своих кошельков, а платёжные настройки хранятся на стороне сайта.
Причина уязвимости заключается в отсутствии проверки прав доступа в одном из AJAX-обработчиков плагина. Через такой обработчик сайт принимает фоновые запросы, не перезагружая страницу. В CryptoPayment Gateway часть административных функций оказалась доступна постороннему пользователю без входа в учётную запись.
Согласно описанию уязвимости в базе NVD, злоумышленник способен отправить запрос и запустить операции, предназначенные для администратора. Среди возможных действий указаны удаление произвольных файлов сервера, перезапись конфигурации платёжного шлюза и извлечение сохранённых учётных данных криптокошельков в открытом виде.
Изменение платёжной конфигурации потенциально позволяет вмешаться в обработку переводов, а доступ к секретам кошельков создаёт риск хищения средств. При этом возможность атаки ещё не означает, что деньги уже украдены. Defused Cyber подтвердила попытки эксплуатации, но не привела сведений об успешных кражах или количестве пострадавших магазинов.
Исследователи обратили внимание на происхождение подозрительных запросов. Атакующий трафик шёл с инфраструктуры, рекламирующей анонимный VPS-хостинг без проверки личности клиентов. Такой признак помогает описать использованные серверы, но сам по себе не раскрывает личности организаторов атак и не позволяет установить их число.
Плагин убрали из официального каталога WordPress 28 августа 2026 года из-за проблемы с безопасностью. К моменту публикации общее число загрузок достигло 1845, включая 20 за последние семь дней. Однако загрузки нельзя приравнивать к количеству работающих магазинов. Достоверных сведений о числе сайтов, где CryptoPayment Gateway установлен сейчас, нет.
Поскольку патч не выпущен, владельцам сайтов рекомендуют удалить CryptoPayment Gateway, заменить ключи и другие секреты кошельков, а также проверить настройки платежей и файлы сервера. Особое внимание стоит уделить неожиданным изменениям конфигурации и пропавшим файлам. Обычное обновление WordPress не устранит ошибку внутри уязвимого дополнения.