Unpatchalanmış CryptoPayment Ağ Geçidi Açığı Cüzdan Kimlik Bilgilerini Açığa Çıkarabiliyor
Defused Cyber’ın bulgularına göre, tehdit aktörleri CryptoPayment Gateway WordPress eklentisindeki yamalanmamış en yüksek ciddiyetli güvenlik açığını kullanmaya çalışıyor.
Söz konusu açık, CVE-2026-81648 olup CVSS puanı 10.0’dır. Açığın başarıyla kullanılması, kimliği doğrulanmamış kullanıcıların sunucuda keyfi dosyaları silmelerine ve depolanmış cüzdan kimlik bilgileri de dahil olmak üzere hassas verileri ele geçirmelerine olanak tanıyabilir.
“1.2.1’den 1.2.2’ye kadar olan CryptoPayment Gateway WordPress eklentisi, AJAX uç noktalarından birinde yetkilendirme kontrolü uygulamaz; bu da kim doğrulanmamış kullanıcıların sunucuda keyfi dosyaları silme, ödeme kapısı yapılandırmasını değiştirme ve deplanmış cüzdan kimlik bilgilerini düz metin olarak geri alma gibi yönetici işlemlerini gerçekleştirmesine olanak tanır,” diyor NVD Ulusal Güvenlik Açığı Veritabanı’nda (NVD) açığın açıklaması.
Açık, son sürüm olan 1.2.1’den 1.2.2’ye kadar sürümleri etkiliyor. WP Scan’a göre açığın bilinen bir düzeltmesi yok. 28 Ağustos 2026 itibarıyla eklenti, belirsiz bir “güvenlik sorunu” nedeniyle WordPress Eklenti Dizini’nde kapatılmış ve indirilebilir durumda değil.
İstatistikler, eklentinin son yedi günde 20 indirme dahil olmak üzere toplamda 1.845 kez indirildiğini gösteriyor. Herhangi bir WordPress sitesinde aktif olarak kurulu olup olmadığı belirsiz.
“CVE-2026-81648’e karşı, WordPress için CryptoPayment’teki kritik (CVSS 10.0) bir açığa gerçek ortamlarda kullanım girişimlerini gözlemliyorz,” dedi Defused Cyber, bir X gönderisinde. “Kaydedilen saldırılar, kendilerini ‘Anonymous KYC-Free VPS Hosting’ (Anonim KYC’siz VPS Barındırma) olarak pazarlayan altyapıdan geldi.”
Düzeltme olmadığı için site sahiplerine eklentiyi kaldırmaları, cüzdan anahtarlarını yenilemeleri ve herhangi bir şüpheli değişikliği denetlemeleri tavsiye ediliyor.
