Хакеры атакуют непропатченный плагин CryptoPayment Gateway для WordPress с CVSS 10.0
Злоумышленники пытаются эксплуатировать критическую уязвимость CVE-2026-81648 в плагине CryptoPayment Gateway для WordPress, сообщила компания Defused Cyber. Оценка по CVSS составляет 10.0, это максимальный уровень опасности, а исправлений пока нет.
Главное в цифрах
- CVSS: 10.0
- Затронутые версии: с 1.2.1 по 1.2.2
- Количество скачиваний плагина: 1 845
- Загрузок за последние семь дней: 20
- Дата удаления из каталога WordPress: 28 августа 2026 года
Уязвимость затрагивает версии плагина с 1.2.1 по 1.2.2, которая является последней. Из-за отсутствия проверки авторизации на одной из AJAX-конечных точек неаутентифицированный пользователь может вызывать административные операции: удалять произвольные файлы на сервере, перезаписывать конфигурацию платёжного шлюза и получать сохранённые учётные данные кошельков в открытом виде.
Плагин удалён из каталога WordPress 28 августа 2026 года по причине, которую власти каталога назвали «проблемой безопасности». По статистике, его скачали 1 845 раз, из них 20 загрузок пришлись на последние семь дней. Неясно, установлен ли плагин сейчас на каких-либо сайтах.
Атаки и рекомендации
Defused Cyber заявила в своём посте в X, что зафиксировала попытки эксплуатации уязвимости в реальных атаках. По её данным, атаки шли с инфраструктуры, которая продаёт себя как «анонимный VPS-хостинг без KYC».
Пока исправления нет, владельцам сайтов рекомендуют удалить плагин, сменить ключи кошельков и проверить сайт на подозрительные изменения.