CryptoPayment Gateway WP — unauth file delete / wallet leak, атаки (CVE-2026-81648)

Суть#

В CryptoPayment Gateway 1.2.1–1.2.2 один из AJAX-эндпоинтов без проверки авторизации. Неаутентифицированный клиент может вызывать административные операции плагина: удаление произвольных файлов на сервере, перезапись конфигурации платёжного шлюза, извлечение сохранённых credentials кошелька в открытом виде. CVSS 3.1 — 10.0 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, CNA WPScan). Scope Changed — удар шире приложения WP (файлы хоста и финансы).

Пути, параметры запросов и PoC не публикуем.

Затронуто и исправлено#

• Slug: cryptopayment-gateway. Автор в каталоге: granwill.
• Known fix: нет (WPScan).
• Каталог: закрыт 28.08.2026, Reason: Security Issue. Active installations: N/A; THN приводит ~1845 загрузок суммарно — аудитория узкая.

Эксплуатация#

• Defused Cyber (ноябрь 2026): наблюдают exploitation attempts; источник атак — инфраструктура с маркетингом «Anonymous KYC-Free VPS Hosting» (цитата через THN).
• CISA KEV — нет. Отдельного вендорского PSIRT-бюллетеня нет.
• Публичный technical write-up с воспроизведением существует — факт наличия; без ссылок и без деталей.

Как проверить#

# WP-CLI: установлен ли плагин
wp plugin list --field=name | grep -i cryptopayment || true
wp plugin get cryptopayment-gateway --fields=name,status,version 2>/dev/null || true

• UI: Плагины — имя CryptoPayment Gateway, версии 1.2.1 / 1.2.2.
• Файлы: каталог под wp-content/plugins/ с этим slug (только факт наличия; не копируйте чужие «проверки» с путями атаки).

Критерий снятия: записи нет в wp plugin list / в Плагинах и нет каталога wp-content/plugins/cryptopayment-gateway. Сайт при этом может отвечать — это не доказательство чистоты после возможной компрометации.

Автообновления WordPress.org эту дыру не закроют: плагин closed, known fix нет. Не ждать update — только remove из инвентаря и деплоя. Для пачки клиентских сайтов: поиск slug cryptopayment-gateway по флоту (wp plugin list / ansible / grep).

Как исправить#

1. Полный бэкап файлов + БД вне webroot.
2. WP-CLI — две отдельные команды (если уже Inactive, deactivate может вернуть ошибку; не склеивайте через &&):

wp plugin deactivate cryptopayment-gateway || true
wp plugin delete cryptopayment-gateway

UI: если Active — Деактивировать, затем Удалить; если уже Inactive — только Удалить. После: убедиться, что каталог wp-content/plugins/cryptopayment-gateway исчез. 3. Ротация всех wallet keys / API secrets, когда-либо хранившихся в настройках плагина; проверить, куда уходили выплаты. После delete — поиск хвостов в wp_options / настройках шлюза (секреты могли остаться в БД). 4. Audit: wp user list, свежие админы; integrity wp-config.php и mu-plugins; необычные cron/options, связанные с оплатой; сброс object cache/Redis и CDN. 5. Оплату криптой — другим поддерживаемым решением; старый плагин не возвращать.

Подводные камни: кэш/CDN; git/composer pin; Docker/K8s — плагин в image/volume/CI вернётся при recreate; мультисайт — удалить на всех сайтах сети; битые шорткоды оплаты на checkout (ожидаемый простой оплаты ≠ «сайт упал»).

Если обновить нельзя#

Патча нет. Единственная мера — удаление. WAF-сигнатуры без удаления не считаем заменой: вендор их не выдал.

Признаки взлома и что делать#

Официальных IoC нет. Красные флаги: чужие адреса кошельков в настройках; неизвестные админы; массовая порча файлов; сайт уводит на установщик WordPress (setup-config), как при порче ядра. При подозрении: изоляция, forensic-копия, ротация всех секретов хостинга/БД/WP salts, восстановление из чистой точки — одного удаления плагина после компрометации мало.

Источники#

• WordPress.org (closed, Security Issue): https://wordpress.org/plugins/cryptopayment-gateway/
• Попытки атак: Defused Cyber, ноябрь 2026 (вторичный пересказ СМИ; URL не ставим — у материала есть переход на разбор с PoC)
• CVE-2026-81648 — номер текстом (реестры и WPScan advisory в ссылки не ставим)