Die kritische Schwachstelle CVE-2026-81648 mit einer Bewertung von CVSS 10.0 wurde im WordPress-Plugin CryptoPayment Gateway in den Versionen 1.2.1 und 1.2.2 entdeckt. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, beliebige Dateien auf dem Server zu löschen, die Konfiguration des Payment-Gateways zu überschreiben und gespeicherte Zugangsdaten von Kryptowallets im Klartext auszulesen. Ein Patch ist nicht verfügbar — das Plugin wurde am 28. August 2026 aufgrund eines Sicherheitsproblems aus dem WordPress-Katalog entfernt. Betreiber von Websites mit diesem Plugin müssen es umgehend löschen und eine Rotation der Wallet-Schlüssel durchführen.
Technische Details der Schwachstelle
Die Ursache des Problems ist das Fehlen einer Autorisierungsprüfung an einem der AJAX-Endpunkte des Plugins. Nach Angaben von WPScan ermöglicht dies jedem Benutzer ohne Authentifizierung die Ausführung administrativer Aktionen. Die Schwachstelle wird als CWE-284 (unzureichende Zugriffskontrolle) klassifiziert.
Der Beschreibung in WPScan zufolge eröffnet die Ausnutzung drei Angriffsvektoren:
- Löschen beliebiger Dateien auf dem Server — einschließlich kritischer WordPress-Dateien, was zur vollständigen Funktionsunfähigkeit der Website führen kann
- Überschreiben der Konfiguration des Payment-Gateways — ermöglicht das Umleiten von Zahlungen auf vom Angreifer kontrollierte Adressen
- Auslesen von Wallet-Zugangsdaten im Klartext — direkter Zugriff auf Kryptowährungswerte
Ein wichtiger technischer Aspekt: Laut WPScan ist für die meisten Exploit-Schritte erforderlich, dass das Plugin mindestens einmal aktiviert wurde; das Löschen beliebiger Dateien ist jedoch sogar ohne vorherige Aktivierung möglich — es genügt, dass die Plugin-Dateien im Verzeichnis wp-content/plugins vorhanden sind. Ein Benutzerkonto oder eine aktive Sitzung ist für keinen der Vektoren erforderlich.
Betroffene Versionen und fehlender Patch
Von der Schwachstelle betroffen sind die Versionen 1.2.1 und 1.2.2 des Plugins CryptoPayment Gateway. Ein entscheidender Punkt: Version 1.2.2, die im WordPress-Katalog als letzte verfügbare Version angegeben ist, gehört zum Bereich der verwundbaren Versionen. Das bedeutet, dass ein Update auf die neueste Version das Problem nicht behebt — die einzige Option bleibt die vollständige Entfernung des Plugins.
WPScan gibt an, dass es keinen Patch gibt. Der WordPress Plugin Directory-Katalog bestätigt die Schließung des Plugins am 28. August 2026 mit dem Vermerk „Security Issue“ — das Plugin steht nicht mehr zum Download bereit. Die Anzahl der aktiven Installationen ist im Katalog mit „N/A“ angegeben, wodurch sich das tatsächliche Ausmaß der Bedrohung nicht abschätzen lässt.
Berichte über Exploit-Versuche
Das Unternehmen Defused Cyber berichtete, dass es Versuche zur Ausnutzung von CVE-2026-81648 unter realen Bedingungen beobachtet habe. Dabei ist zu betonen, dass diese Aussage auf einer einzigen Quelle beruht und nicht unabhängig bestätigt wurde — weder CISA noch andere Organisationen haben diese Schwachstelle in ihre Kataloge aktiv ausgenutzter Lücken aufgenommen. Der Exploit-Status ist daher als unbestätigt zu betrachten und nicht als gesicherte Tatsache einer breitflächigen Kompromittierung.
Einschätzung der Auswirkungen
Obwohl das Plugin nur eine begrenzte Zahl an Downloads aufweist, macht die Art der Schwachstelle sie besonders gefährlich. Die Kombination aus drei Faktoren — keine erforderliche Authentifizierung, Möglichkeit zum Auslesen von Kryptowährungsschlüsseln im Klartext und fehlender Patch — schafft Bedingungen für direkte finanzielle Verluste. Selbst eine einzelne kompromittierte Installation kann zur Entwendung von Geldern aus angebundenen Wallets führen.
Die Situation wird dadurch verschärft, dass das Plugin für die Verarbeitung von Kryptowährungszahlungen vorgesehen ist und auf betroffenen Websites daher mit hoher Wahrscheinlichkeit Schlüssel zu Wallets mit realen Guthaben gespeichert sind. Zuvor haben wir bereits Schwachstellen in WordPress-Plugins analysiert, die zur vollständigen Kompromittierung der Website führen — CVE-2026-81648 gehört zur gleichen Kategorie kritischer Probleme bei der Zugriffskontrolle.
Empfehlungen zur Reaktion
Da kein Patch existiert, besteht die einzige wirksame Strategie in der vollständigen Entfernung der verwundbaren Komponente:
- Löschen Sie das Plugin CryptoPayment Gateway sofort vollständig — Deaktivieren reicht nicht aus, da der Vektor zum Löschen von Dateien ohne Aktivierung des Plugins funktioniert. Entfernen Sie alle Dateien aus dem Verzeichnis
wp-content/plugins/cryptopayment-gateway/ - Führen Sie eine Rotation aller Kryptowährungsschlüssel durch, die in der Plugin-Konfiguration gespeichert waren. Betrachten Sie alle zuvor verwendeten Schlüssel als kompromittiert
- Prüfen Sie die Integrität der WordPress-Dateien — stellen Sie sicher, dass kritische Dateien (
wp-config.php,.htaccess) nicht gelöscht oder verändert wurden - Führen Sie ein Konfigurations-Audit durch — prüfen Sie, ob die Einstellungen des Payment-Gateways geändert wurden, und stellen Sie sicher, dass keine verdächtigen Administrator-Konten existieren
- Prüfen Sie die Zugriffs-Logs auf ungewöhnliche AJAX-Anfragen an die Endpunkte des Plugins
Betreiber von Websites mit installiertem CryptoPayment Gateway in den Versionen 1.2.1 oder 1.2.2 müssen die Entfernung des Plugins und die Rotation der Wallet-Schlüssel mit höchster Priorität durchführen — das Fehlen eines Patches und die maximale CVSS-Bewertung von 10.0 lassen keine abwartende Taktik zu. Transferieren Sie Guthaben von potenziell kompromittierten Wallets auf neue Adressen mit neuen Schlüsseln, bevor Sie das Audit abschließen.
