Secondo i risultati di Defused Cyber, gli aggressori stanno tentando di sfruttare CVE-2026-81648, una vulnerabilità di gravità massima nel plugin CryptoPayment Gateway per WordPress. La falla ha un punteggio CVSS di 10.0 e potrebbe consentire a utenti non autenticati di eliminare file sul server e recuperare dati sensibili, comprese le credenziali dei wallet memorizzate.
La National Vulnerability Database afferma che le versioni dalla 1.2.1 alla 1.2.2 non eseguono un controllo di autorizzazione su un endpoint AJAX. Ciò potrebbe consentire a utenti non autenticati di eseguire azioni amministrative, tra cui eliminare file arbitrari, modificare le impostazioni del gateway di pagamento e recuperare le credenziali dei wallet memorizzate in testo in chiaro.
La vulnerabilità interessa le versioni 1.2.1 e 1.2.2, quest’ultima indicata come la versione più recente del plugin. WP Scan riferisce che non è nota alcuna correzione. Il 28 agosto 2026 il plugin è stato rimosso dalla directory dei plugin di WordPress a causa di un problema di sicurezza non specificato.
Defused Cyber ha dichiarato di aver osservato tentativi di sfruttamento in corso, provenienti da un’infrastruttura pubblicizzata come «Anonymous KYC-Free VPS Hosting». Il plugin ha registrato complessivamente 1.845 download, di cui 20 nei sette giorni menzionati nel rapporto; non è chiaro se sia ancora installato su qualche sito WordPress.
In assenza di una patch, si consiglia ai proprietari dei siti di rimuovere il plugin, ruotare le chiavi dei wallet e verificare la presenza di modifiche sospette.
Fonti: The Hacker News.