CVE-2026-81648 trifft das WordPress-Plugin CryptoPayment Gateway in den Versionen 1.2.1 und 1.2.2. Die Lücke erlaubt unauthentifizierten Aufruf administrativer Funktionen über einen ungeschützten AJAX-Endpunkt – inklusive Löschen beliebiger Dateien, Überschreiben der Gateway-Einstellungen und Wiederherstellen gespeicherter Wallet-Zugangsdaten im Klartext. WPScan und Einträge in der NVD bewerten sie als kritisch (CVSS 10.0). Am 3. November 2026 meldete The Hacker News unter Berufung auf Defused Cyber aktive Ausnutzungsversuche in freier Wildbahn.
Primärquellen für diesen Überblick sind der WPScan-Eintrag zu CVE-2026-81648 und der Bericht von The Hacker News vom 3. November. Wir beschreiben Wirkung und Handlungsempfehlungen auf hoher Ebene – ohne reproduzierbare Angriffsschritte.
CVE-2026-81648: Was betroffen ist
CryptoPayment Gateway (Slug cryptopayment-gateway) ist ein WordPress-Plugin für Krypto-Zahlungen. Betroffen sind laut WPScan die Versionen 1.2.1 bis 1.2.2; Fix gibt es keinen. Wordfence Intelligence listet denselben CVE als ungepatcht. Das Plugin wurde am 28. August 2026 im WordPress.org-Plugin-Verzeichnis geschlossen und ist dort nicht mehr zum Download verfügbar – als Grund nennt das Verzeichnis ein „security issue“.
The Hacker News zitiert Download-Zahlen von insgesamt etwa 1.845 Downloads, davon 20 in den sieben Tagen vor dem Artikel. Ob und wie viele Sites das Plugin noch aktiv betreiben, ist öffentlich unklar. Gerade bei kleinen Installationsbasen unterschätzen Betreiber oft das Risiko – Angreifer scannen breit, nicht nur „große“ Plugins.
Wirkung: Admin-Operationen ohne Login
Laut WPScan fehlt an einem der AJAX-Router des Plugins eine Autorisierungsprüfung. Unauthentifizierte Aufrufer können danach administrative Operationen anstoßen. Öffentlich dokumentierte Auswirkungen umfassen:
- Lesen und Überschreiben der Gateway-Konfiguration
- Wiederherstellen gespeicherter Wallet-Schlüsselmaterialien im Klartext über eine im Router enthaltene Entschlüsselungsfunktion
- Löschen beliebiger Dateien über unsichere Pfadbehandlung – im Extremfall inklusive zentraler WordPress-Konfigurationsdateien, was eine Neuinstallation gegen eine Angreifer-Datenbank ermöglichen kann
WPScan klassifiziert den Typ als Broken Access Control (OWASP A5 / CWE-284). Forscher Pedro Pinho hat den Eintrag eingereicht; öffentliche Veröffentlichung war der 10. September 2026. Wordfence hatte die Lücke in seinem Wochenbericht Mitte September ebenfalls als kritische, ungepatchte Arbitrary-File-Deletion geführt.
Wichtig für die Einordnung: Eine zweite, verwandte Router-Datei im Plugin soll laut WPScan dieselbe Anfrage mit einer Security-Fehlermeldung ablehnen. Die schutzlose Variante reicht jedoch aus, um die genannten Operationen ohne Session auszuführen.
Aktive Ausnutzung am 3. November
Neu am Nachmittag des 3. November ist nicht die CVE selbst – die ist seit September öffentlich –, sondern die Meldung aktiver Scan- und Exploit-Versuche. Defused Cyber schreibt laut The Hacker News, man beobachte In-the-Wild-Versuche gegen CVE-2026-81648; die beobachtete Infrastruktur werbe unter anderem mit „Anonymous KYC-Free VPS Hosting“.
Das Muster kennt man von anderen kritischen WordPress- und Web-Lücken: Sobald PoCs und Scanner-Signaturen zirkulieren, steigt die Trefferquote auch bei Plugins mit geringer Verbreitung. Parallel dazu bleibt das Plugin ohne Fix und ohne offiziellen Download-Kanal – Betroffene müssen selbst handeln.
Was Betreiber jetzt tun sollten
Solange kein Patch existiert, ist Entfernen die klare Empfehlung von The Hacker News und üblichen Incident-Playbooks:
- Plugin deaktivieren und vollständig vom Server entfernen
- Alle im Plugin hinterlegten Wallet-Keys und Seed-Materialien als kompromittiert behandeln und rotieren – idealerweise von einem sauberen Gerät aus in neue Wallets
- Konfiguration, Dateisystem und Nutzerkonten auf verdächtige Änderungen prüfen (unbekannte Admins, geänderte Gateway-Settings, fehlende Kern-Dateien)
- Logs und Backups sichern, bevor man Aufräumt; bei Hinweisen auf Kompromittierung Instanz neu aufsetzen statt nur „nachpatchen“
Wer Krypto-Zahlungen auf WordPress weiter braucht, sollte auf aktiv gewartete Alternativen mit nachvollziehbarer Update-Politik setzen – nicht auf ein geschlossenes, ungepatchtes Verzeichnis-Plugin.
Einordnung im Umfeld
CVE-2026-81648 reiht sich in eine Serie kritischer Zahlungs- und Plattform-Lücken ein. Bei code404zero haben wir kürzlich über geleerte Hot Wallets auf veralteten BTCPay-Instanzen, die PHP2Shell-RCE-Welle und aktiv ausgenutzte GitLab-CVEs wie CVE-2026-97229 berichtet. Auch grundlegende WordPress-Änderungen wie der SQL-Modus in WordPress 7.2 gehören in denselben Ops-Kontext: Updates, Least Privilege und schnelle Reaktion auf ungepatchte Plugins.
Warum ungepatchte Klein-Plugins gefährlich bleiben
Viele Betreiber priorisieren Updates nach Installationszahlen. CVE-2026-81648 zeigt die Schwäche dieser Heuristik: Ein Plugin mit niedrigen vierstelligen Downloads kann trotzdem Wallet-Keys und Dateisystem freigeben, sobald Scanner den Slug kennen. Geschlossen im Verzeichnis heißt nicht „entfernt von allen Servern“ – alte ZIP-Installationen und Mirror-Kopien bleiben aktiv.
Für Hosting- und Agentur-Teams lohnt ein Inventar-Abgleich: Welche Zahlungs-Plugins sind installiert, wann zuletzt aktualisiert, wer hat Commit-Rechte? Gerade bei Krypto-Gateways gilt: Secrets gehören nicht dauerhaft im Plugin-Storage, und Notfall-Rotation muss geübt sein, bevor die CVE im Feed steht.
Praktisch heißt das für Monitoring: WordPress- und Hosting-Scanner sollten den Plugin-Slug cryptopayment-gateway und ungewöhnliche Aufrufe unter dem Plugin-Pfad auf die Beobachtungsliste setzen. Allein die Existenz des Verzeichnisses unter wp-content/plugins/ ist ein Hinweis, auch wenn das Plugin deaktiviert wirkt. Wer Managed WordPress nutzt, sollte den Hoster fragen, ob automatische Malware- und CVE-Scans diesen CVE bereits abdecken.
Für Entwickler eigener Zahlungs-Plugins ist die Lektion banal und teuer zugleich: Jeder öffentlich erreichbare Endpunkt unter dem Plugin-Pfad braucht dieselbe AuthZ wie wp-admin – Nonces und Capability-Checks inklusive. Vendor-Ordner mit eigenen AJAX-Routern sind besonders anfällig, weil sie oft an WordPress-Hooks vorbeilaufen. Code-Reviews und automatisierte Checks auf unauthentifizierte Admin-Aktionen gehören in jeden Release-Gate.
Was offen bleibt
Öffentlich unklar sind die genaue Zahl aktiver Installationen, ob bereits erfolgreiche Wallet-Diebstähle diesem CVE zuzuordnen sind und ob der ursprüngliche Maintainer noch einen Fix nachliefern will. Die WordPress.org-Schließung und „No known fix“ bei WPScan sprechen derzeit gegen eine schnelle Remediation über den Katalog.
Für Redaktionen und Betreiber heißt das: Die CVE ist alt genug für Scanner, frisch genug für aktive Kampagnen. Wer CryptoPayment Gateway jemals installiert hatte – auch deaktiviert – sollte Bestand, Dateisystem und Wallet-Keys prüfen. Hohe CVSS-Werte allein sind kein Drama; fehlender Patch plus beobachtete Ausnutzung schon.
