Falha máxima sem correção no plugin CryptoPayment sofre tentativas de exploração
A falha CVE-2026-81648 (CVSS 10.0) afeta o plugin CryptoPayment Gateway para WordPress e permite que atacantes não autenticados apaguem arquivos do servidor, extraiam credenciais de carteiras e sobrescrevam configurações de pagamento. A Defused Cyber relata tentativas de exploração em campo, e não há correção conhecida. Sites que usam o plugin devem ser monitorados de perto até a saída de um patch.
O que aconteceu
Uma falha de gravidade máxima (CVSS 10.0) no plugin de pagamentos em criptomoedas CryptoPayment Gateway, para WordPress, está sendo alvo de tentativas de exploração, segundo a Defused Cyber. Sem login, um atacante pode apagar arquivos do servidor, extrair credenciais de carteiras e alterar as configurações de pagamento. Não há correção conhecida.
Por que importa
Se explorada, a falha expõe as credenciais das carteiras de criptomoedas, com risco de perda direta de fundos, e permite alterar para onde os pagamentos são enviados. Lojas e sites de cobrança em WordPress que usam esse plugin são os alvos.
O que fazer
Verifique hoje se algum site usa o plugin CryptoPayment Gateway. Avalie desativá-lo até existir correção e monitore arquivos do servidor, configurações de pagamento e movimentos das carteiras em busca de alterações suspeitas.
Para o time técnico
- CVE
- CVE-2026-81648
- Afetados
- CryptoPayment Gateway (plugin WordPress) · Plugin CryptoPayment Gateway para WordPress. As versões afetadas não são especificadas nas fontes.
- Exploração
- Tentativas de exploração observadas em campo, relatadas pela Defused Cyber e divulgadas pelo The Hacker News.
- Correção
- Nenhuma correção conhecida, segundo as fontes.
- Vetor
- Plugin WordPress CryptoPayment Gateway. A falha CVE-2026-81648 permite que usuários não autenticados apaguem arquivos arbitrários do servidor, extraiam credenciais de carteiras e sobrescrevam as configurações de pagamento. Nenhuma autenticação é necessária.
- Mais detalhes
- CVSS 10.0. O achado é atribuído à Defused Cyber. Sem patch, mitigação passa por monitoramento e controle de acesso ao site.
Linha do tempo
Primeiro registro: Defused Cyber observa tentativas de exploração do CVE-2026-81648, ainda sem correção.
Fontes 2 fontes
- @TheHackersNews @TheHackersNews
- Attackers Target Unpatched CryptoPayment Gateway Flaw That Can Expose Wallet Credentials The Hacker News
