Según los hallazgos de Defused Cyber, los atacantes están intentando explotar CVE-2026-81648, una vulnerabilidad de gravedad máxima en el plugin CryptoPayment Gateway para WordPress. La falla tiene una puntuación CVSS de 10,0 y podría permitir que usuarios no autenticados eliminen archivos del servidor y obtengan datos confidenciales, incluidas credenciales de billeteras almacenadas.
La Base de Datos Nacional de Vulnerabilidades señala que las versiones 1.2.1 a 1.2.2 carecen de una comprobación de autorización en un endpoint AJAX. Esto podría permitir que usuarios no autenticados realicen acciones administrativas, como eliminar archivos arbitrarios, cambiar la configuración de la pasarela de pago y recuperar credenciales de billeteras almacenadas en texto sin cifrar.
La vulnerabilidad afecta a las versiones 1.2.1 y 1.2.2; esta última figura como la versión más reciente del plugin. WP Scan informa que no se conoce ninguna solución. El plugin fue eliminado del Directorio de Plugins de WordPress el 28 de agosto de 2026 debido a un problema de seguridad no especificado.
Defused Cyber afirmó haber observado intentos de explotación en el entorno real, originados desde una infraestructura anunciada como «Anonymous KYC-Free VPS Hosting». El plugin registra 1.845 descargas en total, incluidas 20 durante los siete días mencionados en el informe; no está claro si sigue instalado en algún sitio de WordPress.
Al no haber ningún parche disponible, se recomienda a los propietarios de sitios eliminar el plugin, rotar las claves de las billeteras y comprobar si hay cambios sospechosos.
Fuentes: The Hacker News.