Tronlar
Gamma
Verificación en dos pasos activada
Usuário com poucas negociações! Use sempre o saldo do ForoBeta!
Olá, mais uma vulnerabilidade do WordPress que parece estar sendo explorada ativamente.
Desta vez afeta o plugin CryptoPayment Gateway e a vulnerabilidade está identificada como CVE-2026-81648, com uma pontuação CVSS de 10.0.
O problema afeta as versões 1.2.1 e 1.2.2 do plugin e está relacionado à falta de verificações de autorização em um de seus endpoints AJAX.
Na prática, um atacante sem precisar fazer login poderia chegar a realizar operações administrativas, entre elas modificar a configuração do gateway de pagamento, acessar credenciais de wallets armazenadas pelo plugin e até apagar arquivos do servidor.
O preocupante é que a Defused Cyber informou agora tentativas reais de exploração contra essa vulnerabilidade.
Segundo eles, os ataques que observaram vinham de uma infraestrutura que se anunciava como "Anonymous KYC-Free VPS Hosting".
O WPScan marca as versões 1.2.1 e 1.2.2 como vulneráveis e atualmente indica que não existe uma versão corrigida.
Além disso, o próprio diretório oficial do WordPress mostra que o CryptoPayment Gateway foi removido em 28 de agosto de 2026 por um problema de segurança. A última versão continua sendo a 1.2.2.
Portanto, neste caso não basta simplesmente procurar uma atualização do plugin porque, pelo menos por enquanto, não há uma versão corrigida disponível.
A recomendação neste momento é remover o plugin, não simplesmente desativá-lo.
Também seria conveniente trocar as chaves ou credenciais das wallets que estivessem armazenadas no plugin e revisar a instalação do WordPress para ver se houve alguma modificação suspeita.
Este último ponto é especialmente importante porque a vulnerabilidade permite modificar a configuração do gateway. Por exemplo, o endereço de uma wallet poderia ser alterado, fazendo com que pagamentos futuros acabassem em outro endereço.
Não parece ser um plugin muito difundido. O The Hacker News fala de cerca de 1.845 downloads históricos e atualmente o WordPress.org nem sequer mostra um número de instalações ativas.
Mesmo assim, se alguém já o usou alguma vez, eu revisaria a instalação.
NIST - CVE-2026-81648
WPScan - CVE-2026-81648
WordPress.org - CryptoPayment Gateway
Defused Cyber - Tentativas de exploração detectadas
Desta vez afeta o plugin CryptoPayment Gateway e a vulnerabilidade está identificada como CVE-2026-81648, com uma pontuação CVSS de 10.0.
O problema afeta as versões 1.2.1 e 1.2.2 do plugin e está relacionado à falta de verificações de autorização em um de seus endpoints AJAX.
Na prática, um atacante sem precisar fazer login poderia chegar a realizar operações administrativas, entre elas modificar a configuração do gateway de pagamento, acessar credenciais de wallets armazenadas pelo plugin e até apagar arquivos do servidor.
O preocupante é que a Defused Cyber informou agora tentativas reais de exploração contra essa vulnerabilidade.
Segundo eles, os ataques que observaram vinham de uma infraestrutura que se anunciava como "Anonymous KYC-Free VPS Hosting".
Não existe correção atualmente
O WPScan marca as versões 1.2.1 e 1.2.2 como vulneráveis e atualmente indica que não existe uma versão corrigida.
Além disso, o próprio diretório oficial do WordPress mostra que o CryptoPayment Gateway foi removido em 28 de agosto de 2026 por um problema de segurança. A última versão continua sendo a 1.2.2.
Portanto, neste caso não basta simplesmente procurar uma atualização do plugin porque, pelo menos por enquanto, não há uma versão corrigida disponível.
O que fazer se alguém o tiver instalado?
A recomendação neste momento é remover o plugin, não simplesmente desativá-lo.
Também seria conveniente trocar as chaves ou credenciais das wallets que estivessem armazenadas no plugin e revisar a instalação do WordPress para ver se houve alguma modificação suspeita.
Este último ponto é especialmente importante porque a vulnerabilidade permite modificar a configuração do gateway. Por exemplo, o endereço de uma wallet poderia ser alterado, fazendo com que pagamentos futuros acabassem em outro endereço.
Não parece ser um plugin muito difundido. O The Hacker News fala de cerca de 1.845 downloads históricos e atualmente o WordPress.org nem sequer mostra um número de instalações ativas.
Mesmo assim, se alguém já o usou alguma vez, eu revisaria a instalação.
Fontes:
NIST - CVE-2026-81648
WPScan - CVE-2026-81648
WordPress.org - CryptoPayment Gateway
Defused Cyber - Tentativas de exploração detectadas