Se ha descubierto una vulnerabilidad crítica CVE-2026-81648 con una puntuación de CVSS 10.0 en el plugin de WordPress CryptoPayment Gateway de las versiones 1.2.1 y 1.2.2. La vulnerabilidad permite a un atacante no autenticado eliminar archivos arbitrarios en el servidor, sobrescribir la configuración de la pasarela de pago y extraer las credenciales de los monederos de criptomonedas almacenadas en texto claro. No existe parche: el plugin fue retirado del catálogo de WordPress el 28 de agosto de 2026 debido a un problema de seguridad. Los propietarios de sitios que utilicen este plugin deben eliminarlo de inmediato y rotar las claves de los monederos.
Detalles técnicos de la vulnerabilidad
La raíz del problema es la ausencia de verificación de autorización en uno de los endpoints AJAX del plugin. Según datos de WPScan, esto permite a cualquier usuario sin autenticación invocar operaciones administrativas. La vulnerabilidad se clasifica como CWE-284 (control de acceso inadecuado).
De acuerdo con la descripción en WPScan, la explotación abre tres vectores de ataque:
- Eliminación de archivos arbitrarios en el servidor, incluidos archivos críticos de WordPress, lo que puede llevar a la completa caída del sitio
- Sobrescritura de la configuración de la pasarela de pago, lo que permite redirigir pagos a direcciones controladas por el atacante
- Extracción de credenciales de monederos en texto claro, con acceso directo a los activos en criptomonedas
Un detalle técnico importante: según WPScan, para la mayoría de los pasos de explotación se requiere que el plugin haya sido activado al menos una vez, pero la eliminación de archivos arbitrarios es posible incluso sin activación previa; basta con que los archivos del plugin estén presentes en el directorio wp-content/plugins. No se requiere ninguna cuenta ni sesión activa para ninguno de los vectores.
Versiones afectadas y ausencia de parche
Las versiones afectadas por la vulnerabilidad son la 1.2.1 y la 1.2.2 del plugin CryptoPayment Gateway. Un punto crítico: la versión 1.2.2, indicada en el catálogo de WordPress como la última disponible, entra dentro del rango de versiones vulnerables. Esto significa que actualizar a la última versión no resuelve el problema; la única opción es la eliminación completa del plugin.
WPScan indica que no existe corrección alguna. El catálogo WordPress Plugin Directory confirma el cierre del plugin el 28 de agosto de 2026 con la anotación «Security Issue»; el plugin ya no está disponible para su descarga. Al mismo tiempo, el número de instalaciones activas en el catálogo aparece como «N/A», lo que impide evaluar el alcance real de la amenaza.
Informes de intentos de explotación
La empresa Defused Cyber informó de la observación de intentos de explotación de CVE-2026-81648 en entornos reales. Es importante subrayar que esta afirmación se basa en una única fuente y no está confirmada por observadores independientes: ni CISA ni otras organizaciones han incluido esta vulnerabilidad en sus catálogos de vulnerabilidades explotadas activamente. El estado de explotación debe considerarse como no confirmado, y no como un hecho establecido de compromiso masivo.
Evaluación del impacto
Aunque el plugin tiene una base limitada de descargas, la naturaleza de la vulnerabilidad la hace especialmente peligrosa. La combinación de tres factores —no requerir autenticación, posibilidad de extraer claves de criptomonedas en texto claro y ausencia de parche— crea condiciones para pérdidas financieras directas. Incluso una sola instalación comprometida puede desembocar en el robo de fondos de los monederos conectados.
La situación se ve agravada por el hecho de que el plugin está diseñado para procesar pagos en criptomonedas, lo que significa que en los sitios afectados es muy probable que se almacenen claves de monederos con fondos reales. Anteriormente ya analizamos vulnerabilidades en plugins de WordPress que llevan a la completa compromisión del sitio: CVE-2026-81648 pertenece a la misma categoría de problemas críticos de control de acceso.
Recomendaciones de respuesta
Dado que no existe corrección, la única estrategia eficaz es la eliminación completa del componente vulnerable:
- Elimine inmediatamente el plugin CryptoPayment Gateway: la desactivación no es suficiente, ya que el vector de eliminación de archivos funciona sin que el plugin esté activado. Elimine todos los archivos del directorio
wp-content/plugins/cryptopayment-gateway/ - Realice la rotación de todas las claves de criptomonedas que se hayan guardado en la configuración del plugin. Considere todas las claves usadas anteriormente como comprometidas
- Verifique la integridad de los archivos de WordPress: asegúrese de que los archivos críticos (
wp-config.php,.htaccess) no hayan sido eliminados ni modificados - Realice una auditoría de la configuración: compruebe si se han cambiado los ajustes de la pasarela de pago y asegúrese de que no existan cuentas de administrador sospechosas
- Revise los registros de acceso en busca de solicitudes AJAX atípicas a los endpoints del plugin
Los propietarios de sitios con CryptoPayment Gateway instalado en las versiones 1.2.1 o 1.2.2 deben proceder a la eliminación del plugin y a la rotación de las claves de los monederos con carácter prioritario: la falta de parche y la puntuación máxima de CVSS 10.0 no dejan margen para una táctica de espera. Transfiera los fondos de los monederos potencialmente comprometidos a nuevas direcciones con nuevas claves antes de finalizar la auditoría.
