CryptoPayment-Gateway-WordPress-Plugin-Schwachstelle CVE-2026-81648 wird nun aktiv ausgenutzt

Was ist passiert

Das Plugin CryptoPayment Gateway für WordPress enthält eine Schwachstelle, die als CVE-2026-81648 geführt wird. Sie wurde am 13. September 2026 öffentlich bekannt. Aktive Ausnutzung wurde am 3. November 2026 bestätigt. Die Schwachstelle ist nicht neu, wird nun aber in realen Angriffen eingesetzt. Jede Website, die seit der Veröffentlichung nicht aktualisiert wurde, ist gefährdet.

Einer der AJAX-Endpunkte des Plugins prüft nicht, ob der Aufrufer berechtigt ist. Nicht angemeldete Besucher können daher administrative Operationen ausführen. Laut Sicherheitshinweis gehören dazu:

• das Löschen beliebiger Dateien auf dem Server
• das Überschreiben der Konfiguration des Zahlungsgateways
• das Auslesen der gespeicherten Wallet-Zugangsdaten im Klartext

Die Schwachstelle hat einen CVSS-Basiswert von 10.

Wer ist betroffen

Alle WordPress-Websites, auf denen das Plugin CryptoPayment Gateway in den Versionen 1.2.1 bis 1.2.2 läuft, sind betroffen. Zur Ausnutzung der Lücke ist keine Anmeldung erforderlich. Jede öffentlich erreichbare Website mit einer betroffenen Version ist gefährdet, auch wenn das Plugin selten genutzt wird.

Die Quelldaten nennen keine korrigierte Version, und Berichte beschreiben die Lücke als ungepatcht. Prüfen Sie den unten verlinkten Hinweis des Herstellers, ob eine korrigierte Version verfügbar ist.

Was Sie jetzt tun sollten

1. Ermitteln Sie alle WordPress-Installationen, die Sie verwalten und auf denen das Plugin installiert ist. Beispiel: wp plugin list --name=cryptopayment-gateway mit WP-CLI oder die Plugin-Liste im Administrationsbereich. Der Plugin-Slug kann abweichen; prüfen Sie den Ordnernamen unter wp-content/plugins/.
2. Sichern Sie die Dateien der Website und die Datenbank.
3. Falls der Hinweis eine korrigierte Version nennt, aktualisieren Sie darauf. Ist keine Korrektur verfügbar, deaktivieren und entfernen Sie das Plugin, bis eine Version erscheint. Verwenden Sie bis dahin eine andere Zahlungsmethode.
4. Behandeln Sie die gespeicherten Wallet-Zugangsdaten als kompromittiert. Erneuern Sie alle API-Schlüssel, Wallet-Schlüssel oder Passwörter, die im Plugin hinterlegt waren, und verschieben Sie bei Bedarf Guthaben.
5. Prüfen Sie die Konfiguration des Zahlungsgateways auf Änderungen, insbesondere Wallet-Adressen und Callback-URLs. Andernfalls könnten Zahlungen zu Angreifern umgeleitet werden.
6. Prüfen Sie nach den Änderungen, ob Website und Shop weiterhin funktionieren.

So prüfen Sie, ob Sie betroffen sind

• Prüfen Sie die installierte Plugin-Version. Die Versionen 1.2.1 und 1.2.2 sind verwundbar.
• Durchsuchen Sie die Zugriffsprotokolle des Webservers nach Anfragen an /wp-admin/admin-ajax.php von unbekannten IP-Adressen, die sich auf Aktionen des Plugins beziehen. Achten Sie besonders auf den Zeitraum seit dem 13. September 2026.
• Suchen Sie nach fehlenden oder kürzlich gelöschten Dateien, etwa wp-config.php oder .htaccess. Das Löschen solcher Dateien kann die Website beschädigen oder eine Neuinstallation unter Kontrolle eines Angreifers ermöglichen.
• Vergleichen Sie die aktuellen Wallet-Adressen in den Plugin-Einstellungen mit Ihren eigenen Unterlagen.
• Prüfen Sie die Transaktionshistorie Ihrer Wallets auf Überweisungen, die Sie nicht veranlasst haben.

Falls Sie Anzeichen für eine Kompromittierung finden, stellen Sie die Website aus einem sauberen Backup wieder her und erneuern Sie alle Zugangsdaten, einschließlich der WordPress-Administrator- und Datenbankpasswörter.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-81648
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog