Falha crítica em plugin WordPress expõe carteiras digitais e já é alvo de ataques
Uma vulnerabilidade com pontuação máxima de gravidade – CVSS 10.0 – afeta o CryptoPayment Gateway, plugin de pagamentos em criptomoedas para WordPress. Identificada como CVE-2026-81648, a falha pode permitir que invasores sem autenticação obtenham credenciais de carteiras digitais, alterem configurações de pagamento e apaguem arquivos do servidor.
A empresa de segurança Defused Cyber detectou tentativas de exploração em ambientes reais. Até o momento, porém, não há informações sobre quantos sites foram atacados, se algum deles teve dados ou criptomoedas roubados ou quem estaria por trás da atividade.
O problema atinge as versões 1.2.1 e 1.2.2 do plugin, sendo a segunda a mais recente divulgada. Não há uma atualização corretiva conhecida. O CryptoPayment Gateway foi retirado do diretório oficial de plugins do WordPress em 28 de agosto de 2026, por uma questão de segurança que não foi detalhada. A remoção impede novas instalações pelo diretório, mas não desativa o plugin em sites que já o utilizam.
Acesso a operações administrativas
A vulnerabilidade está relacionada à falta de uma verificação de autorização em um endpoint AJAX. Na prática, essa falha pode deixar operações administrativas acessíveis a pessoas que não deveriam ter permissão para executá-las.
Entre as ações que um invasor poderia realizar estão excluir arquivos arbitrários do servidor, substituir configurações do gateway e recuperar credenciais de carteiras de criptomoedas. Segundo as informações disponíveis sobre o problema, essas credenciais podem estar armazenadas em texto claro, sem proteção criptográfica.
A exposição representa risco não apenas para os fundos associados às carteiras, mas também para a integridade do site e para o processamento de pagamentos. Uma alteração nas configurações pode, por exemplo, redirecionar transações ou prejudicar a operação do sistema de cobrança.
Os dados de downloads indicam que o plugin foi baixado 1.845 vezes, com 20 downloads nos sete dias anteriores à divulgação dessas estatísticas. Esse número não permite determinar quantas instalações continuam ativas, mas mostra que pode haver sites ainda expostos.
De onde partem as tentativas
A Defused Cyber observou tentativas de exploração originadas em uma infraestrutura comercializada como serviço de hospedagem VPS anônima, sem exigência de verificação de identidade, conhecida como KYC-Free. O uso desse tipo de serviço, por si só, não comprova que uma pessoa ou empresa esteja envolvida em atividade criminosa. A informação descreve apenas a infraestrutura associada às tentativas registradas.
Como não existe correção conhecida, a orientação prioritária para administradores é remover o CryptoPayment Gateway dos sites afetados. Manter o plugin instalado ou ativo pode conservar uma via de acesso explorável, ainda que ele tenha sido retirado do diretório oficial.
Depois da remoção, é importante substituir as chaves e as credenciais das carteiras que passaram pelo plugin. A troca deve ocorrer mesmo quando não há evidência imediata de roubo: como os dados podem estar armazenados sem criptografia, não é possível descartar a exposição apenas pela ausência de alterações visíveis no site.
Medidas para reduzir o risco
Administradores devem revisar as configurações do gateway e comparar os dados atuais com uma cópia confiável, como um registro interno ou um backup anterior ao período de risco. Qualquer endereço de carteira, chave ou parâmetro de pagamento que não seja reconhecido deve ser tratado como suspeito até que sua origem seja confirmada.
Também é recomendável examinar os registros do servidor e do WordPress em busca de requisições incomuns ao plugin, operações administrativas inesperadas ou exclusões de arquivos. A revisão pode ajudar a identificar sinais de exploração, mas a ausência de eventos suspeitos nos registros não garante, por si só, que o ambiente esteja íntegro.
Antes de restaurar arquivos ou configurações, preserve uma cópia do estado atual do servidor e dos logs. Esses dados podem ser úteis para entender o que ocorreu e evitar que evidências sejam apagadas durante a recuperação. Se houver indícios de invasão, a análise deve abranger não apenas o plugin, mas também contas administrativas, outros componentes instalados e processos que possam ter sido alterados.
Como medida preventiva, mantenha o WordPress, os temas e os demais plugins atualizados e remova componentes que não sejam utilizados. Reduzir a quantidade de extensões instaladas diminui a superfície de ataque, embora não substitua a correção de uma vulnerabilidade específica.
Aplique o princípio do menor privilégio às contas do site: cada usuário deve ter somente as permissões necessárias para suas tarefas. Senhas fortes e autenticação em dois fatores também ajudam a proteger acessos administrativos, mas não impedem a exploração de uma falha que pode ser acionada sem login.
Por fim, verifique se os backups são recentes e se podem ser restaurados. Uma cópia íntegra pode acelerar a recuperação após uma alteração maliciosa ou a exclusão de arquivos. No caso do CryptoPayment Gateway, contudo, restaurar o site sem remover o plugin vulnerável e sem trocar as credenciais não elimina o risco de novos ataques.