Aanvallers proberen misbruik te maken van een niet-gepatchte, maximaal-ernstige kwetsbaarheid in de CryptoPayment Gateway-plugin voor WordPress, zo blijkt uit bevindingen van Defused Cyber.
Het gaat om kwetsbaarheid CVE-2026-81648, die een CVSS-score van 10,0 heeft. Bij succesvolle exploitatie kunnen niet-geauthenticeerde gebruikers willekeurige bestanden op de server verwijderen en gevoelige gegevens exfiltreren, waaronder opgeslagen wallet-gegevens.
Volgens de omschrijving van de fout in de NIST National Vulnerability Database (NVD): “De CryptoPayment Gateway WordPress-plugin van versie 1.2.1 tot 1.2.2 voert geen autorisatiecontrole uit op een van zijn AJAX-eindpunten, waardoor niet-geauthenticeerde gebruikers administratieve handelingen kunnen aanroepen, waaronder het verwijderen van willekeurige bestanden op de server, het overschrijven van de configuratie van de betalingsgateway en het terughalen van opgeslagen wallet-referenties in platte tekst.”
De kwetsbaarheid treft versies 1.2.1 tot en met 1.2.2, waarbij 1.2.2 de meest recente versie is. Volgens WPScan zijn er geen bekende fixes voor deze fout. Op 28 augustus 2026 is de plugin uit de WordPress Plugin Directory verwijderd en niet langer beschikbaar voor download vanwege een niet-gespecificeerd “beveiligingsprobleem”.
Statistieken tonen aan dat de plugin in totaal 1.845 keer is gedownload, inclusief 20 downloads in de afgelopen zeven dagen. Het is onduidelijk of de plugin actief is geïnstalleerd op WordPress-sites.
Defused Cyber meldde op X: “We zien in-the-wild exploitatiepogingen tegen CVE-2026-81648, een kritieke (CVSS 10.0) fout in CryptoPayment Gateway voor WordPress. De aanvallen die we hebben vastgelegd kwamen van infrastructuur die zichzelf aanbiedt als ‘Anonymous KYC-Free VPS Hosting’.”
In afwezigheid van een patch wordt site-eigenaren geadviseerd de plugin te verwijderen, wallet-sleutels te roteren en de site te auditen op verdachte wijzigingen.
