Un plugin de pagos cripto de WordPress, atacado con un fallo crítico sin parche
En resumen
- El plugin CryptoPayment Gateway (versiones 1.2.1 y 1.2.2) tiene un fallo de gravedad 10 sobre 10 (CVE-2026-81648) y ya hay intentos de explotación.
- Permite a cualquiera borrar archivos, cambiar la configuración de pagos y leer credenciales de carteras guardadas en texto claro.
- No hay parche conocido: hay que eliminar el plugin y cambiar las claves de las carteras.
Un fallo de autorización en el plugin de WordPress CryptoPayment Gateway (versiones 1.2.1 a 1.2.2) permite que usuarios sin cuenta ejecuten operaciones de administrador. El fallo, CVE-2026-81648, tiene la puntuación máxima (10,0).
Qué pueden hacer los atacantes
- Borrar archivos arbitrarios del servidor.
- Sobrescribir la configuración de la pasarela de pago.
- Recuperar credenciales de carteras que el plugin guarda en texto claro.
La firma Defused Cyber ha registrado intentos de explotación en curso. El plugin está cerrado en el directorio oficial de WordPress desde el 28 de agosto por un problema de seguridad no especificado, y según WPScan no hay corrección conocida. Tiene pocas descargas (1.845 en total), así que el alcance probablemente sea limitado, pero no está claro dónde sigue instalado.
Qué hacer
- Elimina el plugin si lo tienes, aunque esté desactivado.
- Cambia las claves de las carteras que hayas configurado en él.
- Revisa el sitio en busca de cambios sospechosos: archivos que faltan, ajustes de pago alterados o usuarios nuevos.
- Desconfía de plugins retirados del directorio oficial: ya no reciben correcciones.
¿Sabes qué plugins tiene tu web?
Hacemos una revisión de plugins, versiones y accesos, y retiramos lo que sobra.
Infórmate