Agentes maliciosos estão tentando explorar uma vulnerabilidade de severidade máxima, ainda sem correção, no plugin CryptoPayment Gateway para WordPress, segundo descobertas da Defused Cyber.
A falha em questão é a CVE-2026-81648 (Common Vulnerabilities and Exposures, identificador padronizado de falhas de segurança), com pontuação CVSS de 10,0 (Common Vulnerability Scoring System, sistema que mede a gravidade de vulnerabilidades). Se explorada com sucesso, ela pode permitir que usuários não autenticados excluam arquivos arbitrários do servidor e extraiam dados sensíveis, incluindo credenciais de carteiras armazenadas.
“O plugin CryptoPayment Gateway para WordPress, nas versões 1.2.1 a 1.2.2, não aplica verificação de autorização em um de seus endpoints AJAX (Asynchronous JavaScript and XML, tecnologia usada para troca de dados entre páginas e servidores), permitindo que usuários não autenticados invoquem operações administrativas, incluindo a exclusão de arquivos arbitrários do servidor, a sobrescrita da configuração do gateway de pagamento e a recuperação de credenciais de carteiras armazenadas em texto não criptografado”, segundo uma descrição da falha no Banco Nacional de Dados de Vulnerabilidades (NVD), mantido pelo NIST.
A vulnerabilidade afeta as versões 1.2.1 a 1.2.2, sendo a 1.2.2 a mais recente. Não há correções conhecidas para a falha, segundo a WP Scan. Desde 28 de agosto de 2026, o plugin foi fechado no diretório de plugins do WordPress e não está mais disponível para download devido a um “problema de segurança” não especificado.
Dados indicam que o plugin foi baixado 1.845 vezes no total, incluindo 20 downloads nos últimos sete dias. Não está claro se ele ainda está instalado em algum site WordPress.
“Estamos observando tentativas de exploração em ambiente real contra o CVE-2026-81648, uma falha crítica (CVSS 10,0) no CryptoPayment Gateway para WordPress”, disse a Defused Cyber em uma publicação na rede X. “Os ataques que registramos partiram de uma infraestrutura que se apresenta como ‘hospedagem VPS anônima sem KYC’”, complementou a empresa, referindo-se a servidor privado virtual (VPS) e a procedimentos de conheça seu cliente (KYC).
Recomendações
Na ausência de correção, os administradores de sites são orientados a remover o plugin, trocar as chaves das carteiras e auditar possíveis alterações suspeitas.
