Tronlar
Gamma
Verificación en dos pasos activada
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Hola, otra vulnerabilidad de WordPress que parece que están intentando explotar activamente.
Esta vez afecta al plugin CryptoPayment Gateway y la vulnerabilidad está identificada como CVE-2026-81648, con una puntuación CVSS de 10.0.
El problema afecta a las versiones 1.2.1 y 1.2.2 del plugin y está relacionado con la falta de comprobaciones de autorización en uno de sus endpoints AJAX.
En la práctica, un atacante sin necesidad de iniciar sesión podrÃa llegar a realizar operaciones administrativas, entre ellas modificar la configuración de la pasarela de pago, acceder a credenciales de wallets almacenadas por el plugin e incluso borrar archivos del servidor.
Lo preocupante es que Defused Cyber ha informado ahora de intentos de explotación reales contra esta vulnerabilidad.
Según ellos, los ataques que han observado procedÃan de infraestructura que se anunciaba como "Anonymous KYC-Free VPS Hosting".
WPScan marca las versiones 1.2.1 y 1.2.2 como vulnerables y actualmente indica que no existe una versión corregida.
Además, el propio directorio oficial de WordPress muestra que CryptoPayment Gateway fue retirado el 28 de agosto de 2026 por un problema de seguridad. La última versión continúa siendo la 1.2.2.
Por tanto, en este caso no sirve simplemente con buscar una actualización del plugin porque, al menos por ahora, no hay una versión corregida disponible.
La recomendación en este momento es eliminar el plugin, no simplemente desactivarlo.
También convendrÃa rotar las claves o credenciales de las wallets que hubieran estado almacenadas en el plugin y revisar la instalación de WordPress por si se hubiera producido alguna modificación sospechosa.
Esto último es especialmente importante porque la vulnerabilidad permite modificar la configuración de la pasarela. Por ejemplo, podrÃa cambiarse la dirección de una wallet y hacer que futuros pagos acabasen en otra dirección.
No parece que sea un plugin especialmente extendido. The Hacker News habla de unas 1.845 descargas históricas y actualmente WordPress.org ni siquiera muestra una cifra de instalaciones activas.
Aun asÃ, si alguien lo ha utilizado alguna vez, yo revisarÃa la instalación.
NIST - CVE-2026-81648
WPScan - CVE-2026-81648
WordPress.org - CryptoPayment Gateway
Defused Cyber - Intentos de explotación detectados
Esta vez afecta al plugin CryptoPayment Gateway y la vulnerabilidad está identificada como CVE-2026-81648, con una puntuación CVSS de 10.0.
El problema afecta a las versiones 1.2.1 y 1.2.2 del plugin y está relacionado con la falta de comprobaciones de autorización en uno de sus endpoints AJAX.
En la práctica, un atacante sin necesidad de iniciar sesión podrÃa llegar a realizar operaciones administrativas, entre ellas modificar la configuración de la pasarela de pago, acceder a credenciales de wallets almacenadas por el plugin e incluso borrar archivos del servidor.
Lo preocupante es que Defused Cyber ha informado ahora de intentos de explotación reales contra esta vulnerabilidad.
Según ellos, los ataques que han observado procedÃan de infraestructura que se anunciaba como "Anonymous KYC-Free VPS Hosting".
No existe parche actualmente
WPScan marca las versiones 1.2.1 y 1.2.2 como vulnerables y actualmente indica que no existe una versión corregida.
Además, el propio directorio oficial de WordPress muestra que CryptoPayment Gateway fue retirado el 28 de agosto de 2026 por un problema de seguridad. La última versión continúa siendo la 1.2.2.
Por tanto, en este caso no sirve simplemente con buscar una actualización del plugin porque, al menos por ahora, no hay una versión corregida disponible.
¿Qué hacer si alguien lo tiene instalado?
La recomendación en este momento es eliminar el plugin, no simplemente desactivarlo.
También convendrÃa rotar las claves o credenciales de las wallets que hubieran estado almacenadas en el plugin y revisar la instalación de WordPress por si se hubiera producido alguna modificación sospechosa.
Esto último es especialmente importante porque la vulnerabilidad permite modificar la configuración de la pasarela. Por ejemplo, podrÃa cambiarse la dirección de una wallet y hacer que futuros pagos acabasen en otra dirección.
No parece que sea un plugin especialmente extendido. The Hacker News habla de unas 1.845 descargas históricas y actualmente WordPress.org ni siquiera muestra una cifra de instalaciones activas.
Aun asÃ, si alguien lo ha utilizado alguna vez, yo revisarÃa la instalación.
Fuentes:
NIST - CVE-2026-81648
WPScan - CVE-2026-81648
WordPress.org - CryptoPayment Gateway
Defused Cyber - Intentos de explotación detectados
