Penyerang dilaporkan mulai mengincar celah kritis di CryptoPayment Gateway, plugin WordPress untuk menerima pembayaran kripto. Peneliti Defused Cyber mengamati percobaan serangan di dunia nyata terhadap CVE-2026-81648, yang bernilai CVSS 10,0. Hingga laporan The Hacker News terbit pada 3 November 2026, belum ada versi perbaikan yang diketahui.
Apa yang bisa dilakukan penyerang
Plugin ini tidak memeriksa otorisasi pada salah satu endpoint AJAX-nya. Akibatnya, pengunjung tanpa akun bisa menjalankan operasi yang seharusnya hanya boleh dilakukan admin. Menurut deskripsi CVE, operasi itu mencakup penghapusan file sembarang di server, penimpaan konfigurasi gateway pembayaran, dan pengambilan kredensial dompet yang tersimpan sebagai teks biasa. Kelemahan ini masuk kategori missing authorization (CWE-862).
Versi terdampak adalah 1.2.1 sampai 1.2.2, yang sekaligus rilis terbaru. Plugin ini sudah ditutup dari direktori resmi WordPress sejak 28 Agustus 2026 dengan alasan masalah keamanan yang tidak dirinci. Menurut The Hacker News, serangan yang teramati berasal dari infrastruktur yang memasarkan diri sebagai hosting VPS anonim tanpa verifikasi identitas. Informasi eksploitasi ini bersumber dari unggahan Defused Cyber di X dan dilaporkan ulang oleh media, jadi belum ada konfirmasi dari pengembang plugin.
Skala pemakaian tampaknya kecil. Plugin tercatat diunduh 1.845 kali secara kumulatif, termasuk 20 kali dalam tujuh hari terakhir, tetapi jumlah situs yang masih memasangnya belum jelas. Catatan basis data kerentanan menandai celah ini bisa diserang dari jarak jauh dan dapat diotomatisasi. Advisory WPScan menjadi rujukan awal untuk CVE ini, yang dipublikasikan pada 13 September 2026.
Langkah yang perlu diambil pemilik situs
Karena tidak ada versi perbaikan, mitigasi yang disarankan adalah menghapus plugin dari situs. Menonaktifkan saja belum tentu cukup, jadi hapus berkasnya dari server. Setelah itu, anggap kredensial dompet yang pernah disimpan plugin sudah bocor: pindahkan dana ke dompet baru dengan kunci baru, lalu ganti semua kunci API yang terkait.
Periksa juga tanda penyusupan. Cari file yang hilang tanpa sebab, perubahan pada pengaturan gateway pembayaran yang tidak Anda lakukan, serta akun admin atau tugas terjadwal yang asing. Jika situs memakai hosting bersama, minta penyedia hosting memeriksa log akses ke endpoint admin-ajax. Daftar indikator serangan lengkap tersedia di laporan sumber.
Dampak bagi pengelola toko dan situs donasi
Risiko terbesar ada pada toko online atau situs donasi yang menerima kripto lewat plugin ini, karena penyerang bisa mengarahkan pembayaran ke dompet mereka sendiri. Pengelola situs WordPress sebaiknya juga rutin membersihkan plugin yang sudah ditutup dari direktori resmi, karena plugin semacam itu tidak lagi menerima perbaikan. Pembaruan inti WordPress tetap penting, seperti yang kami bahas dalam liputan WordPress 7.1.4, tetapi pembaruan itu tidak menolong untuk celah di plugin yang ditinggalkan.
Sumber: The Hacker News dan CVEfeed. Gambar: The Hacker News.