Hackers exploram falha crítica CVSS 10.0 em plugin WordPress que expõe credenciais de carteiras digitais

Uma vulnerabilidade crítica no plugin CryptoPayment Gateway para WordPress está sendo alvo de tentativas de exploração por hackers. A falha, identificada como CVE-2026-81648, recebeu pontuação máxima de 10.0 na escala CVSS e pode permitir que invasores não autenticados acessem credenciais de carteiras de criptomoedas, modifiquem configurações de pagamento e excluam arquivos do servidor.

A atividade maliciosa foi identificada pela empresa de segurança Defused Cyber, que registrou tentativas de exploração da vulnerabilidade em ambientes reais.

O problema afeta as versões 1.2.1 e 1.2.2 do CryptoPayment Gateway, sendo esta última a versão mais recente disponibilizada. Segundo o WPScan, ainda não existe uma correção conhecida para a falha.

Vulnerabilidade permite acesso a funções administrativas

De acordo com a descrição publicada no National Vulnerability Database (NVD), mantido pelo NIST, a vulnerabilidade ocorre devido à ausência de verificação de autorização em um dos endpoints AJAX do plugin.

Essa deficiência permite que usuários não autenticados executem operações administrativas que deveriam estar restritas a usuários autorizados.

Entre as ações possíveis estão a exclusão arbitrária de arquivos no servidor, a substituição das configurações do gateway de pagamento e a recuperação de credenciais de carteiras digitais armazenadas em texto claro, sem proteção criptográfica.

A exploração pode comprometer tanto a integridade dos sites afetados quanto a segurança das informações utilizadas para processar pagamentos em criptomoedas.

Plugin foi removido do diretório do WordPress

Em 28 de agosto de 2026, o CryptoPayment Gateway foi removido do diretório oficial de plugins do WordPress devido a um problema de segurança não especificado.

Apesar da remoção, instalações existentes podem continuar executando versões vulneráveis.

As estatísticas disponíveis indicam que o plugin acumulou 1.845 downloads, incluindo 20 realizados nos últimos sete dias. Entretanto, não está claro quantos sites WordPress ainda utilizam a ferramenta.

A ausência de uma atualização de segurança aumenta a exposição das instalações que permanecem com o plugin ativo.

Ataques partem de infraestrutura de hospedagem anônima

A Defused Cyber informou ter identificado tentativas de exploração da CVE-2026-81648 provenientes de uma infraestrutura comercializada como serviço de hospedagem VPS anônima, sem exigência de verificação de identidade (KYC-Free).

Esse tipo de serviço permite contratar servidores virtuais sem os procedimentos tradicionais de identificação de clientes, embora sua utilização não seja, por si só, evidência de atividade criminosa.

A empresa confirmou a observação de tentativas de exploração, mas não informou quantos sites foram atingidos nem se os ataques resultaram no roubo efetivo de credenciais ou criptomoedas.

Também não foram divulgados detalhes sobre os responsáveis pela campanha.

Recomendações para administradores WordPress

Como não existe uma correção disponível, a principal recomendação é remover o CryptoPayment Gateway dos sites afetados.

Os administradores também devem substituir as chaves e credenciais das carteiras utilizadas pela plataforma e verificar possíveis alterações não autorizadas nas configurações de pagamento.

Uma auditoria dos arquivos e registros do servidor pode ajudar a identificar exclusões suspeitas, modificações de configuração ou outros indícios de comprometimento.

A vulnerabilidade permanece sem correção conhecida, enquanto tentativas de exploração já foram observadas em ambientes reais.