Uma falha crítica no plugin CryptoPayment Gateway, utilizado em sites WordPress para processar pagamentos com criptomoedas, está sendo alvo de tentativas de exploração por criminosos digitais.
Identificada como CVE-2026-81648, a vulnerabilidade recebeu pontuação máxima de 10,0 na escala CVSS e afeta as versões 1.2.1 e 1.2.2 da ferramenta.
O problema permite que invasores sem autenticação acessem funções administrativas, alterem configurações de pagamento, excluam arquivos do servidor e obtenham credenciais de carteiras digitais armazenadas sem criptografia.
Pesquisadores de cibersegurança identificaram tentativas reais de exploração da falha, aumentando o risco para empresas que utilizam o plugin em suas lojas virtuais.
O CryptoPayment Gateway foi retirado do diretório oficial do WordPress em agosto de 2026, mas instalações existentes continuam expostas. Até o momento, não há uma versão corrigida disponível.
A recomendação para administradores é remover imediatamente o plugin, substituir as credenciais e chaves de carteiras utilizadas e verificar possíveis alterações suspeitas nos sistemas.
Ainda não há confirmação pública sobre o número de sites comprometidos ou eventuais valores financeiros roubados.
