Riesgo 10/10: hackers atacan monederos cripto de tiendas en WordPress sin necesitar contraseñas

Los atacantes comenzaron a explotar el complemento de pago criptográfico CryptoPayment Gateway para WordPress. Una vulnerabilidad con la máxima puntuación de gravedad permite, sin contraseña, acceder a las credenciales de las carteras criptográficas, cambiar la configuración de pagos y eliminar archivos del sitio. Todavía no hay parche.

La compañía Defused Cyber registró intentos de explotación. Se trata de la vulnerabilidad CVE-2026-81648 con una puntuación de 10 sobre 10 en la escala CVSS 3.1. Están en riesgo las versiones CryptoPayment Gateway 1.2.1 y 1.2.2. Esta última sigue siendo la versión más reciente disponible del complemento, y no hay información sobre la publicación de una compilación corregida.

CryptoPayment Gateway está diseñado para aceptar criptomonedas en tiendas en línea que usan WooCommerce sobre WordPress. El desarrollador incluyó pagos en Bitcoin, Bitcoin Cash, Litecoin, Dogecoin y otras monedas. Para conectar la tienda, el propietario indica las direcciones de sus carteras, y los ajustes de pago se almacenan en el lado del sitio.

La causa de la vulnerabilidad es la ausencia de comprobación de permisos de acceso en uno de los manejadores AJAX del complemento. A través de ese manejador, el sitio acepta solicitudes en segundo plano sin recargar la página. En CryptoPayment Gateway parte de las funciones administrativas resultaron accesibles para un usuario externo sin iniciar sesión.

Según la descripción de la vulnerabilidad en la base de datos NVD, un atacante puede enviar una solicitud y ejecutar operaciones destinadas al administrador. Entre las acciones posibles se mencionan la eliminación de archivos arbitrarios del servidor, la sobrescritura de la configuración de la pasarela de pagos y la extracción de las credenciales guardadas de las carteras de criptomonedas en texto plano.

La modificación de la configuración de pagos potencialmente permite interferir en el procesamiento de transferencias, y el acceso a los secretos de las carteras crea el riesgo de robo de fondos. No obstante, la posibilidad de ataque no implica que el dinero ya haya sido robado. Defused Cyber confirmó intentos de explotación, pero no aportó datos sobre robos exitosos ni sobre el número de tiendas afectadas.

Los investigadores señalaron el origen de las solicitudes sospechosas. El tráfico atacante provenía de una infraestructura que publicita un servicio de VPS anónimo sin verificación de identidad de los clientes. Ese indicio ayuda a describir los servidores utilizados, pero por sí solo no revela la identidad de los organizadores de los ataques ni permite establecer su número.

El complemento fue retirado del catálogo oficial de WordPress el 28 de agosto de 2026 debido a un problema de seguridad. Al momento de la publicación, el número total de descargas alcanzó 1845, incluidas 20 en los últimos siete días. Sin embargo, las descargas no pueden equipararse con el número de tiendas en funcionamiento. No hay datos fiables sobre la cantidad de sitios donde CryptoPayment Gateway está instalado actualmente.

Dado que no se ha publicado un parche, se recomienda a los propietarios de sitios eliminar CryptoPayment Gateway, reemplazar las claves y otros secretos de las carteras, así como verificar la configuración de pagos y los archivos del servidor. Debe prestarse especial atención a cambios inesperados en la configuración y a archivos desaparecidos. La actualización habitual de WordPress no corregirá el error dentro del complemento vulnerable.