Beveiligingsonderzoekers melden dat aanvallers zich richten op een on-gepatchte kwetsbaarheid in de CryptoPayment Gateway WordPress-plugin. Het gaat om een fout met het hoogste risiconiveau (CVSS 10.0), waarbij een aanvaller naar verluidt zonder authenticatie bestanden kan verwijderen en gevoelige gegevens kan uitlezen, waaronder opgeslagen wallet-credentials.
Wat dit extra urgent maakt: er is volgens de beschikbare informatie geen werkende fix en de plugin is inmiddels van de WordPress Plugin Directory gehaald. Hieronder lees je wat er bekend is, waarom dit zo ver kan gaan, en welke stappen je nu kunt nemen.
Wat is CVE-2026-81648 en waarom is het zo ernstig?
De kwetsbaarheid heet CVE-2026-81648 en treft de CryptoPayment Gateway WordPress-plugin in versies 1.2.1 tot en met 1.2.2. De kwetsbaarheid krijgt een CVSS-score van 10.0, wat doorgaans wijst op een zeer hoog exploitatie- en impactniveau.
Volgens de beschrijving in de NVD draait de kern om een ontbrekende autorisatiecontrole op een AJAX-endpoint. Daardoor kunnen on-geverifieerde (unauthenticated) gebruikers administratieve handelingen aanroepen die normaal alleen horen bij geautoriseerde toegang.
Welke schade kan een aanvaller veroorzaken?
Bij succesvolle exploitatie is de impact niet beperkt tot informatielekken. De melding geeft aan dat een aanvaller:
- arbitraire bestanden op de server kan verwijderen;
- de payment gateway-configuratie kan overschrijven;
- opgeslagen wallet-credentials kan terugwinnen, met mogelijk opslag in cleartext (dus leesbaar zonder extra ontsleuteling).
In de praktijk betekent dit dat zowel de integriteit van je server als de vertrouwelijkheid van je betaal- en walletgegevens kan worden aangetast. Bovendien is het risico groter omdat de kwetsbaarheid te misbruiken lijkt zonder dat een aanvaller eerst inlogt.
Wordt de kwetsbaarheid al misbruikt?
Onderzoekers van Defused Cyber geven aan exploits “in het wild” te hebben waargenomen tegen CVE-2026-81648. Daarbij werd infrastructuur genoemd die zichzelf aanprijst als “Anonymous KYC-Free VPS Hosting”.
Er zijn dus signalen dat kwaadwillenden niet wachten op een patch. Dat maakt het voor beheerders belangrijk om niet alleen naar logbestanden te kijken, maar ook meteen te handelen in afwachting van verdere details.
Waarom is er extra weinig tijd?
Volgens de beschikbare informatie is de plugin inmiddels gesloten op de WordPress Plugin Directory en niet langer beschikbaar om te downloaden, omdat er sprake zou zijn van een “security issue”. Tegelijkertijd wordt gemeld dat er geen bekende fixes zijn voor deze kwetsbaarheid.
Daarnaast zijn er maar beperkt downloadstatistieken bekend: in totaal zou de plugin circa 1.845 keer zijn gedownload, met 20 downloads in de laatste zeven dagen. Het is echter niet duidelijk of de plugin op actieve websites is geïnstalleerd.
Zelfs als de plugin minder vaak voorkomt, is de impact bij misbruik zo groot dat één getroffen site al ernstige gevolgen kan hebben.
Wat moet je nu doen als je deze plugin gebruikt?
In het licht van het ontbreken van een patch is de aanbeveling om het risico te beperken door de situatie snel te “isoleren”. Onderzoekers adviseren:
- Verwijder de plugin van je WordPress-omgeving (of schakel de functionaliteit direct uit als volledige verwijdering niet meteen kan).
- Roteren van wallet keys: als credentials mogelijk zijn blootgesteld, moet je sleutels opnieuw genereren en de oude intrekken.
- Audit voor verdachte wijzigingen: controleer of er ongebruikelijke bestandssysteemwijzigingen, configuratiewijzigingen of andere sporen zijn ontstaan.
Let op: “rotaten” betekent niet alleen dat je je sleutels vernieuwt, maar ook dat je nagaat of de nieuwe configuratie correct en volledig is doorgevoerd, zodat je niet per ongeluk een nog steeds gemanipuleerde setup gebruikt.
Waar let je op bij de security audit?
Omdat het om een endpoint gaat waarmee aanvallers administratieve acties kunnen uitvoeren, is het verstandig om je controle niet te beperken tot één plek. Richt je audit bijvoorbeeld op:
- Bestandswijzigingen in directories waar pluginconfiguraties en betalingsinstellingen staan;
- Configuratiebestanden van de payment gateway (zijn er waarden overschreven?);
- Nieuwe of aangepaste bestanden die je niet kent, vooral rond plugin- of uploads-locaties;
- Wijzigingen in beveiligingsinstellingen of WordPress-gebruikers;
- Netwerk- en serverlogs: verzoeken richting het relevante AJAX-endpoint, vooral zonder legitieme sessies.
Heb je een SOC of monitoring draaien? Gebruik die bronnen om te bepalen wanneer er mogelijk misbruik is begonnen en of er meerdere aanvallen hebben plaatsgevonden.
Als je breder wilt kijken naar hoe je aanvallen herkent en wat je vooraf regelt, helpt het om ook aandacht te besteden aan je detection-gereedheid. Zie bijvoorbeeld AI SOC gereedheid: check vóór je uitrolt.
Vergelijkbare risico’s: waarom “geen patch” extra gevaarlijk is
Veel organisaties denken bij kwetsbaarheden aan “even updaten”. Bij deze case is juist het omgekeerde aan de orde: de kwetsbaarheid wordt als kritisch beschreven en er zijn geen bekende fixes. Dat maakt tijdelijke workarounds en snelle containment cruciaal.
Daarnaast zie je in het ecosysteem vaker dat aanvallen niet alleen systemen treffen, maar ook proberen om waardevolle gegevens te bemachtigen, zoals credentials. Ook als je niet precies dezelfde plugin gebruikt, is het de moeite waard om je eigen supply chain en dependency-aanpak scherp te houden. Een goede start is bijvoorbeeld ons overzicht van recente dreigingen rond supply chain: Focus op recente cyberdreigingen: van DDoS tot supply chain.
Conclusie: handel snel met de CryptoPayment Gateway WordPress plugin
De melding rond CVE-2026-81648 maakt duidelijk dat de CryptoPayment Gateway WordPress-plugin een extreem hoog risico vormt zolang er geen patch beschikbaar is. Met unauthenticated misbruik, het kunnen verwijderen van bestanden en het uitlezen van wallet-credentials is dit geen kwestie van “afwachten”.
Verwijder de plugin, roteer wallet keys en voer een gerichte audit uit op verdachte configuratie- en bestandswijzigingen. Door nu in te grijpen beperk je de kans dat aanvallers betalingstoegang en walletdata blijven misbruiken.
Bron: https://thehackernews.com/2026/11/attackers-target-unpatched.html
