LONDON / LONDON (IT BOLTWISE) – Angreifer versuchen offenbar, eine maximal kritische Sicherheitslücke im WordPress-Plugin „CryptoPayment Gateway“ auszunutzen. Laut CVE-2026-81648 (CVSS 10,0) könnten Unautorisierte ohne Login beliebige Dateien löschen und sensible Daten, einschließlich gespeicherter Wallet-Credentials, auslesen. Das Plugin wurde zudem aus dem WordPress Plugin Directory entfernt, eine offizielle Reparatur ist derzeit nicht verfügbar. Betreiber sollen das Plugin entfernen, Wallet-Keys rotieren und Serveränderungen prüfen.
In der WordPress-Landschaft taucht erneut ein Risiko auf, das besonders Wallet-betriebene Zahlungsfunktionen betrifft: Zu CVE-2026-81648 wird ein ungebremster Ausnutzungsversuch („in-the-wild exploitation“) beschrieben, obwohl für das betroffene Plugin bisher keine fixierte Version bereitsteht. Die Schwachstelle wird im Zusammenhang mit dem Plugin „CryptoPayment Gateway“ identifiziert und erreicht in der Bewertung einen CVSS-Score von 10,0 – ein Wert, der in der Praxis meist bedeutet, dass sowohl die Angriffsoberfläche als auch die möglichen Auswirkungen hoch priorisiert werden. Für Administratoren ist die Lage vor allem deshalb heikel, weil es nicht nur um das klassische „Daten auslesen“ geht, sondern um das Potenzial für Kontrolle über Server-Operationen und das Abgreifen von Wallet-Anmeldedaten.
Technisch wird die Ursache auf einen fehlenden Autorisierungscheck an einem AJAX-Endpunkt zurückgeführt. In der Beschreibung der Lücke im NIST National Vulnerability Database (NVD) heißt es, dass die betroffene Version (1,2,1 bis 1,2,2, wobei 1,2,2 als aktuelle Version genannt wird) keine ausreichende Prüfung der Zugriffsrechte vornimmt. Dadurch könnten nicht authentifizierte Nutzer administrative Operationen auslösen – unter anderem das Löschen beliebiger Dateien auf dem Server, das Überschreiben der Konfiguration des Payment Gateways sowie das Auslesen gespeicherter Wallet-Credentials in Klartext. Genau diese Kombination verschärft den Schaden: Datei-Manipulation ermöglicht Persistenz oder weitere Schadensschritte, während Klartext-Credentials die eigentlichen Krypto-Gateways unmittelbar kompromittierbar machen.
Die Zeitachse und die Verfügbarkeitsaussage verschärfen die Dringlichkeit. Laut den Angaben aus dem Vulnerability-Umfeld gibt es aktuell „keine bekannten Fixes“; gleichzeitig ist das Plugin mit dem betroffenen Versionsbereich auf einen Schlag aus dem WordPress Plugin Directory entfernt worden. Dort wurde es als nicht mehr zum Download verfügbar geführt, mit dem Hinweis auf ein „security issue“, ohne dass im vorliegenden Material ein konkreter Patch oder eine Ersatzversion benannt wird. Parallel liefert eine Größenordnung aus den Download-Zahlen zusätzliche Hinweise auf die Verbreitung: Insgesamt wurden demnach 1.845 Downloads gezählt, darunter 20 Downloads in den letzten sieben Tagen. Auch wenn diese Zahlen nicht zwingend Rückschlüsse auf aktiven Live-Einsatz zulassen, zeigt die Kurve zumindest, dass Nutzer das Plugin offenbar noch relativ zeitnah bezogen haben.
Dass die Lücke nicht nur theoretisch existiert, sondern aktiv angegangen wird, wird durch Beobachtungen aus der Security-Analyse gestützt. In einem öffentlichen Post wird das Vorgehen gegen CVE-2026-81648 als kritische Schwachstelle für „CryptoPayment Gateway for WordPress“ eingeordnet (erneut mit CVSS 10,0). Zusätzlich wird beschrieben, dass die erfassten Angriffe aus einer Infrastruktur stammen, die sich selbst als „Anonymous KYC-Free VPS Hosting“ vermarktet. Für Betreiber bedeutet das: Auch wenn unklar bleibt, wie viele der betroffenen Installationen tatsächlich kompromittiert wurden, spricht die Formulierung von „Versuche im Wildbetrieb“ dafür, dass Automatisierung im Spiel ist und nicht nur einzelne gezielte Angriffe stattfinden.
Für die IT-Sicherheit steht damit weniger die Debatte über „Upgrade oder nicht“ im Vordergrund, sondern ein sicherheitsorientierter Notfallprozess. Die Empfehlung aus dem Umfeld lautet: Plugin entfernen, Wallet-Keys rotieren und den Server auf verdächtige Änderungen prüfen. Genau hier liegt ein praktischer Schwerpunkt, der sich aus der technischen Beschreibung ergibt: Wenn ein unautorisierter Angreifer Konfigurationen überschreiben und Dateien löschen kann, sollte die Integrität nicht nur auf „dem Plugin-Ordner“ bewertet werden. Sinnvoll ist es, mindestens die WordPress-Konfigurationspfade, Plugin-/Theme-Assets sowie alle Stellen zu auditieren, an denen das Gateway Wallet-Zugriffe speichert oder daraus liest. Dazu kommt die Rotation der Wallet-Credentials: Wenn die Lücke das Auslesen gespeicherter Keys in Klartext erlaubt, reicht ein reines Deaktivieren des Plugins ohne Key-Rotation häufig nicht aus, um den Risikohebel zu senken.
Branchenweit fügt sich der Vorfall in eine wiederkehrende Sicherheitslinie ein: Bei Zahlungs-Plugins sind fehlende Autorisierungsprüfungen besonders gefährlich, weil sie sich mit dem „Privileged Operations“-Modell vieler Web-Backends beißen. In der Vergangenheit waren ähnliche Klassen von Problemen in WordPress-Umgebungen vor allem durch unsaubere AJAX- oder REST-Endpunkte sichtbar. Neu ist hier vor allem die direkte Kopplung an Wallet-Credentials und serverseitige Eingriffe (Löschen, Überschreiben, Wiederherstellung von Daten). Für die Zukunft heißt das: Wer kryptobezogene Funktionen betreibt, sollte bei der Auswahl von Plugins stärker auf Wartbarkeit, Release-Tempo und klare Fix-Mechanismen achten – und im Betrieb eine schnelle Abschalt- und Wiederherstellungsroutine für kritische Security-Fälle bereithalten.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CVE-2026-81648: Ungepatchte WordPress-Lücke gefährdet Wallet-Zugriff bei „CryptoPayment Gateway“" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CVE-2026-81648: Ungepatchte WordPress-Lücke gefährdet Wallet-Zugriff bei „CryptoPayment Gateway“" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CVE-2026-81648: Ungepatchte WordPress-Lücke gefährdet Wallet-Zugriff bei „CryptoPayment Gateway“« bei Google Deutschland suchen, bei Bing oder Google News!