El plugin CryptoPayment Gateway tiene una vulnerabilidad crítica ya bajo explotación activa, y su nombre técnico es CVE-2026-81648. La falla recibió la puntuación máxima del sistema CVSS, un 10.0, y permite que cualquier visitante de una tienda WordPress, sin cuenta y sin contraseña, ejecute operaciones reservadas al administrador del sitio.
El botín explica la prisa de los atacantes. Quien explota el fallo puede borrar archivos arbitrarios del servidor, sobrescribir la configuración de la pasarela de pago y recuperar las credenciales de las billeteras que el plugin guarda almacenadas, escritas en texto claro. En una tienda que cobra en criptomonedas, esas credenciales son la llave del dinero: el punto exacto donde la tienda decide a qué billetera llega cada pago quedó abierto a cualquiera que sepa llamar a la puerta correcta.
La firma de seguridad Defused Cyber reportó en X que observa intentos de explotación en entornos reales contra el CVE-2026-81648. «Estamos observando intentos de explotación en entornos reales contra CVE-2026-81648, una falla crítica (CVSS 10.0) en CryptoPayment Gateway para WordPress», escribió la firma. No se trata de una prueba de laboratorio ni de una alerta teórica: hay tráfico malicioso buscando sitios que tengan el plugin instalado.
Un endpoint AJAX sin ninguna comprobación de autorización
La base de datos nacional de vulnerabilidades del NIST, la NVD, describe el mecanismo con precisión: las versiones 1.2.1 a 1.2.2 de CryptoPayment Gateway no aplican ninguna comprobación de autorización en uno de sus endpoints AJAX. Un endpoint AJAX es una dirección interna que WordPress usa para ejecutar tareas sin recargar la página, como guardar un ajuste o procesar una orden; si esa dirección interna no exige credenciales, cualquiera que la invoque entra con los privilegios del administrador.
El detalle que complica la salida es que la 1.2.2 es la versión más reciente del plugin. Actualizar, el reflejo habitual ante cualquier alerta de seguridad en WordPress, en este caso no resuelve nada, porque el fallo vive también en la última edición publicada. WPScan, la base de datos especializada en seguridad de WordPress, registra que no se conoce ninguna corrección para esta vulnerabilidad.
El plugin tampoco aparece ya en el directorio oficial. Desde el 28 de agosto de 2026, la página de CryptoPayment Gateway en WordPress.org quedó cerrada por un «problema de seguridad» que el directorio no detalló, y la descarga dejó de estar disponible. La medida corta las instalaciones nuevas, pero no toca a los sitios que ya lo ejecutan: el código vulnerable sigue dentro de cada servidor donde quedó instalado, y retirarlo del directorio no lo desinstala de ningún sitio.
Las cifras del propio directorio ayudan a dimensionar la exposición. El plugin acumula 1.845 descargas en total, incluidas 20 descargas durante los últimos siete días. La nota de The Hacker News aclara que no está claro si el plugin permanece activo en algún sitio de WordPress: una descarga no equivale a una instalación viva. Tampoco hay, por ahora, una cifra pública de sitios comprometidos. Esa incertidumbre forma parte del problema: el daño de esta falla no se mide en visitas recibidas, sino en credenciales que pudieron salir del servidor sin dejar un registro evidente para el dueño de la tienda.
La infraestructura de ataque se anuncia como anónima
Defused Cyber sumó un dato sobre el origen del tráfico malicioso: los ataques registrados salieron de infraestructura que se comercializa a sí misma como «Anonymous KYC-Free VPS Hosting». Son servidores virtuales privados que se alquilan sin verificación de identidad del cliente: KYC son las siglas en inglés de «conoce a tu cliente», el proceso con el que los proveedores serios comprueban quién contrata. Un servicio que se anuncia como libre de KYC se vende, en la práctica, como un origen difícil de rastrear.
WordPress viene de unas semanas movidas en seguridad, con un fallo que permite la ejecución remota de código todavía fresco, y el patrón se repite: un plugin pequeño, con pocas descargas y un fallo de autorización, pasa desapercibido hasta que alguien lo convierte en objetivo. La diferencia aquí la marca el tipo de dato expuesto. Un plugin de pagos no guarda preferencias de diseño ni comentarios de usuarios; guarda las credenciales con las que una tienda mueve su dinero en criptomonedas, y las guarda legibles para cualquiera que llegue al endpoint equivocado.
Sin parche publicado, la recomendación que recoge la nota es directa: retirar el plugin del sitio, rotar las claves de las billeteras y auditar el servidor en busca de cambios sospechosos. La rotación no es un trámite de rutina. Si las credenciales quedaron en texto claro dentro de un sistema que cualquier visitante pudo consultar sin autenticarse, lo prudente es tratar esas llaves como si ya no fueran secretas, aunque no exista todavía confirmación de un robo concreto.
El CVE-2026-81648 queda en la categoría más incómoda para quien administra un sitio: severidad perfecta de 10.0, explotación confirmada en entornos reales, plugin retirado del directorio desde el 28 de agosto y ninguna corrección a la vista. Cada día que CryptoPayment Gateway siga instalado en una tienda, la caja de esa tienda se abre con una llamada que ni siquiera pide contraseña.
Fuente: The Hacker News
