Pemilik situs WordPress yang menerima pembayaran kripto lewat plugin CryptoPayment Gateway perlu memeriksa situsnya hari ini. Celah CVE-2026-81648 di plugin itu mendapat skor CVSS 10,0, dan peneliti Defused Cyber melaporkan penyerang sudah mencoba memanfaatkannya. Hingga laporan The Hacker News terbit pada 3 November 2026, belum ada versi perbaikan yang diketahui.
Apa yang terjadi dan siapa yang terdampak
Catatan CVE menggolongkan masalah ini sebagai kekurangan pemeriksaan otorisasi (CWE-862) pada salah satu endpoint AJAX milik plugin. Akibatnya, pengunjung tanpa akun dan tanpa login bisa menjalankan operasi yang seharusnya hanya boleh dilakukan administrator. Dampak yang tercatat meliputi penghapusan file sembarang di server, penimpaan konfigurasi gateway pembayaran, dan pengambilan kredensial dompet yang tersimpan sebagai teks biasa.
Versi terdampak adalah 1.2.1 sampai 1.2.2, dan 1.2.2 disebut sebagai versi terbaru. Vektor CVSS-nya menunjukkan serangan lewat jaringan, tanpa hak akses, tanpa interaksi pengguna. Catatan CVE terbit pada 13 September 2026 dan diperbarui pada 3 November 2026, saat status eksploitasinya dinaikkan menjadi ada bukti konsep.
Soal serangan nyata, klaimnya baru datang dari satu sumber. Defused Cyber menyebut upaya eksploitasi itu berasal dari infrastruktur yang mengiklankan layanan VPS tanpa verifikasi identitas. Penelusuran kami belum menemukan konfirmasi dari pengembang plugin, karena nama vendor pun tidak tercantum di catatan CVE.
Plugin ini sudah tidak ada di Direktori Plugin WordPress sejak 28 Agustus 2026, dengan alasan masalah keamanan yang tidak dirinci. Artinya, situs yang memasangnya dulu tidak akan mendapat pemberitahuan pembaruan dari direktori. Referensi satu-satunya di catatan CVE adalah entri WPScan, yang menurut laporan belum mencantumkan perbaikan.
Langkah yang perlu Anda ambil
Karena tidak ada patch, mitigasi paling aman adalah mencopot plugin. Nonaktifkan, lalu hapus dari server, dan siapkan metode pembayaran pengganti sementara. Setelah itu, anggap kredensial dompet yang pernah tersimpan di plugin sudah terbaca pihak lain: buat kunci atau akses baru di penyedia dompet, lalu pindahkan dana bila perlu.
Periksa juga tanda-tanda penyusupan. Cari berkas inti atau tema yang hilang tanpa sebab, perubahan pada pengaturan gateway yang tidak Anda lakukan, dan transaksi keluar yang tidak dikenal. Admin yang mengelola banyak situs sebaiknya mencari nama plugin ini di semua instalasi, termasuk yang jarang dibuka. Perbarui juga inti WordPress, karena CISA baru saja memasukkan celah lain di inti WordPress ke daftar celah yang dieksploitasi, seperti kami bahas di artikel tentang CVE-2026-119977.
Bagi pemilik toko online di Indonesia yang menerima kripto, risiko terbesarnya ada pada dompet yang terhubung. Kehilangan akses ke situs masih bisa dipulihkan dari cadangan, sedangkan dana yang sudah berpindah dompet nyaris tidak bisa ditarik kembali.
Sumber: The Hacker News, CVEfeed (catatan CVE-2026-81648). Gambar: The Hacker News.