Критична вразливість CVE-2026-81648 з оцінкою CVSS 10.0 виявлена в WordPress-плагіні CryptoPayment Gateway версій 1.2.1 і 1.2.2. Вразливість дозволяє неавтентифікованому зловмиснику видаляти довільні файли на сервері, перезаписувати конфігурацію платіжного шлюзу та витягувати збережені облікові дані криптовалютних гаманців у відкритому вигляді. Патч відсутній — плагін закритий у каталозі WordPress 28 серпня 2026 року через проблему безпеки. Власникам сайтів із цим плагіном необхідно негайно його видалити та провести ротацію ключів гаманців.
Технічні деталі вразливості
Корінь проблеми — відсутність перевірки авторизації на одному з AJAX-ендпоінтів плагіна. За даними WPScan, це дозволяє будь-якому користувачу без автентифікації викликати адміністративні операції. Вразливість класифікується як CWE-284 (неналежний контроль доступу).
Згідно з описом у WPScan, експлойт відкриває три вектори атаки:
- Видалення довільних файлів на сервері — включно з критичними файлами WordPress, що може призвести до повного виведення сайту з ладу
- Перезапис конфігурації платіжного шлюзу — дозволяє перенаправити платежі на контрольовані зловмисником адреси
- Витяг облікових даних гаманців у відкритому вигляді — прямий доступ до криптовалютних активів
Важлива технічна деталь: згідно з WPScan, для більшості кроків експлуатації потрібно, щоб плагін був хоча б один раз активований, однак видалення довільних файлів можливе навіть без попередньої активації — достатньо наявності файлів плагіна в директорії wp-content/plugins. Обліковий запис або активна сесія не потрібні ні для одного з векторів.
Зачеплені версії та відсутність патча
Вразливості піддаються версії 1.2.1 і 1.2.2 плагіна CryptoPayment Gateway. Критично важливий момент: версія 1.2.2, вказана в каталозі WordPress як остання доступна, входить до діапазону вразливих версій. Це означає, що оновлення до останньої версії не усуває проблему — єдиним варіантом залишається повне видалення плагіна.
WPScan зазначає, що виправлення не існує. Каталог WordPress Plugin Directory підтверджує закриття плагіна 28 серпня 2026 року з позначкою «Security Issue» — плагін більше недоступний для завантаження. При цьому кількість активних встановлень у каталозі позначена як «N/A», що не дозволяє оцінити реальний масштаб загрози.
Повідомлення про спроби експлуатації
Компанія Defused Cyber повідомила про спостереження спроб експлуатації CVE-2026-81648 у реальних умовах. Слід підкреслити, що це твердження ґрунтується на єдиному джерелі й не підтверджене незалежними спостерігачами — ні CISA, ні інші організації не включили цю вразливість до каталогів активно експлуатованих. Статус експлуатації слід розглядати як непідтверджений, а не як встановлений факт масової компрометації.
Оцінка впливу
Попри те, що плагін має обмежену кількість завантажень, характер вразливості робить її особливо небезпечною. Поєднання трьох факторів — відсутність необхідності в автентифікації, можливість витягти криптовалютні ключі у відкритому вигляді та відсутність патча — створює умови для прямих фінансових втрат. Навіть поодинока скомпрометована інсталяція може призвести до викрадення коштів із підключених гаманців.
Ситуацію ускладнює те, що плагін призначений для обробки криптовалютних платежів, а отже, на зачеплених сайтах із високою ймовірністю зберігаються ключі до гаманців із реальними коштами. Раніше ми вже аналізували вразливості в WordPress-плагінах, що призводять до повної компрометації сайту — CVE-2026-81648 належить до тієї ж категорії критичних проблем контролю доступу.
Рекомендації щодо реагування
Оскільки виправлення не існує, єдина ефективна стратегія — повне усунення вразливого компонента:
- Негайно видаліть плагін CryptoPayment Gateway — деактивації недостатньо, оскільки вектор видалення файлів працює без активації плагіна. Видаліть усі файли з директорії
wp-content/plugins/cryptopayment-gateway/ - Проведіть ротацію всіх криптовалютних ключів, які були збережені в конфігурації плагіна. Вважайте всі раніше використані ключі скомпрометованими
- Перевірте цілісність файлів WordPress — переконайтеся, що критичні файли (
wp-config.php,.htaccess) не були видалені або модифіковані - Проведіть аудит конфігурації — перевірте, чи не були змінені налаштування платіжного шлюзу, і переконайтеся у відсутності підозрілих облікових записів адміністраторів
- Перевірте логи доступу на наявність нетипових AJAX-запитів до ендпоінтів плагіна
Власникам сайтів із установленим CryptoPayment Gateway версій 1.2.1 або 1.2.2 необхідно виконати видалення плагіна та ротацію ключів гаманців у пріоритетному порядку — відсутність патча та максимальна оцінка CVSS 10.0 не залишають можливості для вичікувальної тактики. Переведіть кошти з потенційно скомпрометованих гаманців на нові адреси з новими ключами до завершення аудиту.
