Một lỗ hổng bảo mật có điểm CVSS tuyệt đối 10.0 trong plugin CryptoPayment Gateway dành cho WordPress đang bị tin tặc khai thác. Lỗ hổng cho phép đối tượng tấn công không cần xác thực vẫn có thể xóa tệp trên máy chủ, chiếm quyền thay đổi cấu hình thanh toán và truy xuất thông tin xác thực ví điện tử, trong khi hiện chưa có bản vá khắc phục.
Theo kết quả nghiên cứu của Defused Cyber, các đối tượng tấn công đang tìm cách khai thác một lỗ hổng bảo mật nghiêm trọng chưa được khắc phục trong plugin CryptoPayment Gateway dành cho nền tảng WordPress.
Lỗ hổng được định danh CVE-2026-81648, có điểm CVSS 10.0 – mức độ nghiêm trọng cao nhất. Nếu khai thác thành công, tin tặc không cần xác thực vẫn có thể xóa các tệp tùy ý trên máy chủ và thu thập dữ liệu nhạy cảm, bao gồm thông tin xác thực ví điện tử được lưu trữ.
Theo mô tả trên Cơ sở dữ liệu lỗ hổng quốc gia (NVD) của Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST), các phiên bản từ 1.2.1 đến 1.2.2 của plugin CryptoPayment Gateway không thực hiện kiểm tra quyền truy cập tại một điểm cuối AJAX. Điều này cho phép người dùng chưa xác thực thực hiện các thao tác quản trị trái phép, như xóa tệp trên máy chủ, ghi đè cấu hình cổng thanh toán và truy xuất thông tin xác thực ví điện tử dưới dạng văn bản thuần.
Lỗ hổng ảnh hưởng đến các phiên bản 1.2.1 và 1.2.2, trong đó phiên bản 1.2.2 là bản phát hành mới nhất. Hiện chưa có bản vá khắc phục, tuy nhiên, từ ngày 28/8/2026, plugin đã bị gỡ khỏi WordPress Plugin Directory và không còn được cung cấp để tải xuống do một vấn đề bảo mật chưa được công bố cụ thể. Thống kê cho thấy plugin đã có tổng cộng 1.845 lượt tải, trong đó có 20 lượt trong 7 ngày gần nhất. Tuy nhiên, hiện chưa rõ plugin còn được cài đặt và sử dụng trên những website WordPress nào.
Trong bài đăng trên mạng xã hội X, Defused Cyber cho biết đã ghi nhận các nỗ lực khai thác lỗ hổng CVE-2026-81648 trên thực tế. Đáng chú ý, các cuộc tấn công được thực hiện từ những hạ tầng tự quảng bá là dịch vụ máy chủ ảo ẩn danh, không yêu cầu xác minh danh tính khách hàng..
Trong khi chưa có bản vá chính thức, quản trị viên website được khuyến cáo gỡ bỏ plugin CryptoPayment Gateway, thay mới các khóa ví điện tử và kiểm tra nhật ký hệ thống cũng như cấu hình để phát hiện những thay đổi bất thường.
