Angreifer versuchen, CVE-2026-81648 auszunutzen, eine Schwachstelle mit maximalem Schweregrad im WordPress-Plugin CryptoPayment Gateway, wie aus Erkenntnissen von Defused Cyber hervorgeht. Die Schwachstelle hat einen CVSS-Wert von 10,0 und könnte nicht authentifizierten Nutzern ermöglichen, Serverdateien zu löschen und sensible Daten abzurufen, darunter gespeicherte Wallet-Zugangsdaten.
Laut der National Vulnerability Database fehlt den Versionen 1.2.1 bis 1.2.2 eine Berechtigungsprüfung an einem AJAX-Endpunkt. Dadurch könnten nicht authentifizierte Nutzer administrative Aktionen ausführen, darunter beliebige Dateien löschen, Einstellungen des Zahlungsgateways ändern und im Klartext gespeicherte Wallet-Zugangsdaten auslesen.
Die Schwachstelle betrifft die Versionen 1.2.1 und 1.2.2, wobei Letztere als neueste Version des Plugins aufgeführt ist. WP Scan zufolge ist kein Fix bekannt. Das Plugin wurde am 28. August 2026 wegen eines nicht näher bezeichneten Sicherheitsproblems aus dem WordPress-Plugin-Verzeichnis entfernt.
Defused Cyber erklärte, Exploit-Versuche in freier Wildbahn beobachtet zu haben, die von einer Infrastruktur ausgingen, die mit „Anonymous KYC-Free VPS Hosting“ beworben wird. Das Plugin wurde insgesamt 1.845 Mal heruntergeladen, davon 20 Mal in den sieben Tagen, auf die sich der Bericht bezieht; es ist unklar, ob es noch auf WordPress-Websites installiert ist.
Da kein Patch verfügbar ist, wird Website-Betreibern geraten, das Plugin zu entfernen, Wallet-Schlüssel zu rotieren und nach verdächtigen Änderungen zu suchen.
Quellen: The Hacker News.