Критическая уязвимость CVE-2026-81648 с оценкой CVSS 10.0 обнаружена в WordPress-плагине CryptoPayment Gateway версий 1.2.1 и 1.2.2. Уязвимость позволяет неаутентифицированному злоумышленнику удалять произвольные файлы на сервере, перезаписывать конфигурацию платёжного шлюза и извлекать сохранённые учётные данные криптовалютных кошельков в открытом виде. Патч отсутствует — плагин закрыт в каталоге WordPress 28 августа 2026 года по причине проблемы безопасности. Владельцам сайтов с этим плагином необходимо немедленно его удалить и провести ротацию ключей кошельков.
Технические детали уязвимости
Корень проблемы — отсутствие проверки авторизации на одном из AJAX-эндпоинтов плагина. По данным WPScan, это позволяет любому пользователю без аутентификации вызывать административные операции. Уязвимость классифицируется как CWE-284 (ненадлежащий контроль доступа).
Согласно описанию в WPScan, эксплуатация открывает три вектора атаки:
- Удаление произвольных файлов на сервере — включая критичные файлы WordPress, что может привести к полному выводу сайта из строя
- Перезапись конфигурации платёжного шлюза — позволяет перенаправить платежи на контролируемые злоумышленником адреса
- Извлечение учётных данных кошельков в открытом виде — прямой доступ к криптовалютным активам
Важная техническая деталь: согласно WPScan, для большинства шагов эксплуатации требуется, чтобы плагин был хотя бы однажды активирован, однако удаление произвольных файлов возможно даже без предварительной активации — достаточно присутствия файлов плагина в директории wp-content/plugins. Учётная запись или активная сессия не требуются ни для одного из векторов.
Затронутые версии и отсутствие патча
Уязвимости подвержены версии 1.2.1 и 1.2.2 плагина CryptoPayment Gateway. Критически важный момент: версия 1.2.2, указанная в каталоге WordPress как последняя доступная, входит в диапазон уязвимых версий. Это означает, что обновление до последней версии не устраняет проблему — единственным вариантом остаётся полное удаление плагина.
WPScan указывает, что исправления не существует. Каталог WordPress Plugin Directory подтверждает закрытие плагина 28 августа 2026 года с пометкой «Security Issue» — плагин более недоступен для скачивания. При этом количество активных установок в каталоге обозначено как «N/A», что не позволяет оценить реальный масштаб угрозы.
Сообщения о попытках эксплуатации
Компания Defused Cyber сообщила о наблюдении попыток эксплуатации CVE-2026-81648 в реальных условиях. Следует подчеркнуть, что это заявление основано на единственном источнике и не подтверждено независимыми наблюдателями — ни CISA, ни другие организации не включили данную уязвимость в каталоги активно эксплуатируемых. Статус эксплуатации следует рассматривать как неподтверждённый, а не как установленный факт массовой компрометации.
Оценка воздействия
Несмотря на то что плагин имеет ограниченную базу загрузок, характер уязвимости делает её особенно опасной. Сочетание трёх факторов — отсутствие необходимости в аутентификации, возможность извлечения криптовалютных ключей в открытом виде и отсутствие патча — создаёт условия для прямых финансовых потерь. Даже единичная скомпрометированная установка может привести к хищению средств из подключённых кошельков.
Ситуация усугубляется тем, что плагин предназначен для обработки криптовалютных платежей, а значит, на затронутых сайтах с высокой вероятностью хранятся ключи к кошелькам с реальными средствами. Ранее мы уже анализировали уязвимости в WordPress-плагинах, приводящие к полной компрометации сайта — CVE-2026-81648 относится к той же категории критических проблем контроля доступа.
Рекомендации по реагированию
Поскольку исправления не существует, единственная эффективная стратегия — полное устранение уязвимого компонента:
- Немедленно удалите плагин CryptoPayment Gateway — деактивации недостаточно, так как вектор удаления файлов работает без активации плагина. Удалите все файлы из директории
wp-content/plugins/cryptopayment-gateway/ - Проведите ротацию всех криптовалютных ключей, которые были сохранены в конфигурации плагина. Считайте все ранее использованные ключи скомпрометированными
- Проверьте целостность файлов WordPress — убедитесь, что критичные файлы (
wp-config.php,.htaccess) не были удалены или модифицированы - Проведите аудит конфигурации — проверьте, не были ли изменены настройки платёжного шлюза, и убедитесь в отсутствии подозрительных учётных записей администраторов
- Проверьте логи доступа на наличие нехарактерных AJAX-запросов к эндпоинтам плагина
Владельцам сайтов с установленным CryptoPayment Gateway версий 1.2.1 или 1.2.2 необходимо выполнить удаление плагина и ротацию ключей кошельков в приоритетном порядке — отсутствие патча и максимальная оценка CVSS 10.0 не оставляют возможности для выжидательной тактики. Переведите средства с потенциально скомпрометированных кошельков на новые адреса с новыми ключами до завершения аудита.
