Плагин криптооплаты для WordPress атакуют — удалите его и смените ключи кошелька

Коротко. В плагине CryptoPayment Gateway для WordPress (версии 1.2.1–1.2.2) дыра максимальной тяжести: без входа на сайт злоумышленник может менять настройки оплаты, читать сохранённые данные кошельков и портить файлы на сервере. Исправления нет. Плагин уже закрыт в каталоге WordPress.org. По данным компании Defused Cyber (пересказ отраслевых СМИ), идут попытки атак. Нужны удаление плагина и смена ключей.

Касается ли это вас.

• Да, если на WordPress стоит CryptoPayment Gateway 1.2.1 или 1.2.2.
• Скорее всего нет, если криптооплаты нет или стоит другой плагин.
• Не знаете — в «Плагины» найдите CryptoPayment Gateway или спросите у того, кто делал сайт.

Чем грозит. Кража средств с кошелька, подмена реквизитов оплаты, поломка сайта. Сколько сайтов уже пострадало — неизвестно; плагин редкий, но для тех, у кого он есть, риск высокий.

Что сделать в первую очередь (сегодня).

1. Параллельно: смените все ключи и доступы кошельков, которые когда-либо сохраняли в этом плагине (считайте скомпрометированными), и удалите плагин.
2. Есть доступ к сайту: Плагины → отключите (если ещё включён) и удалите CryptoPayment Gateway. Исправления от автора нет — обновляться некуда.
3. Нет доступа в админку — перешлите готовый текст разработчику или в поддержку хостинга (файловый менеджер / удаление каталога плагина).

Плагин снят, если его нет в «Плагины». Это ещё не значит, что сайт чист: если видите чужие адреса кошельков, новых администраторов, пропажу или подмену файлов, сайт уходит в установщик — остановите сайт для посетителей и зовите специалиста; одного удаления при подозрении на взлом мало. Не ставьте «патчи» с форумов.

Что сделать во вторую очередь (на этой неделе).

1. Проверьте список администраторов WordPress и недавние правки файлов/настроек оплаты; куда уже уходили выплаты с прежних ключей.
2. Если оплаты в крипте нужны — подберите другой способ с поддержкой и обновлениями; старый плагин не возвращайте.
3. Договоритесь с подрядчиком о короткой проверке логов и бэкапа.

Если сразу не получается.

• Временно отключите приём оплаты через этот плагин (удалением) даже ценой простоя оплаты.
• Админка не открывается — пишите в хостинг: удалить плагин CryptoPayment Gateway с диска.
• Официального «включите галочку вместо удаления» нет.

Готовый текст для разработчика или поддержки.

Здравствуйте! По CVE-2026-81648 в плагине CryptoPayment Gateway для WordPress (1.2.1–1.2.2) нет проверки доступа на AJAX-операциях: без входа возможны удаление файлов, подмена настроек шлюза и чтение данных кошельков. CVSS 10.0. Патча нет; плагин закрыт на WordPress.org с 28.08.2026. Нужно удалить плагин, ротировать ключи кошельков и проверить сайт на аномалии. Сайт: <адрес>. Подробности для специалиста: https://nevzlom.ru/ru/tech/2026-11-03-cryptopayment/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-03-cryptopayment/

Источник. Страница плагина (закрыт, Security Issue): https://wordpress.org/plugins/cryptopayment-gateway/ · Попытки атак — по данным Defused Cyber (пересказ The Hacker News, без ссылки: у материала есть переход на разбор с PoC).