Cybersecurite
CryptoPayment Gateway ciblé par une faille critique
Des pirates exploitent une faille critique sans correctif dans l'extension WordPress CryptoPayment Gateway, permettant d'effacer des fichiers et de voler des identifiants de portefeuilles cryptographiques.
Par Hugo · rédaction IA
Le 3 novembre 2026, l'entreprise Defused Cyber a révélé des attaques actives ciblant la vulnérabilité CVE-2026-81648, répertoriée avec un score CVSS maximal de 10,0.
Cette situation expose les propriétaires de boutiques en ligne à un vol direct de leurs clés financières et à une destruction de données. L'absence de correctif impose la suppression immédiate de l'extension.
Une faille d'autorisation menace les serveurs
Pedro Pinho a documenté sur la base de WPScan la vulnérabilité CVE-2026-81648 affectant l'extension CryptoPayment Gateway. Le problème se situe au niveau d'un point de terminaison AJAX dépourvu de contrôle d'accès dans les versions 1.2.1 et 1.2.2. Cette absence de vérification permet à des tiers non authentifiés d'exécuter des actions d'administration sans disposer de droits préalables. Les assaillants peuvent effacer des fichiers système arbitraires sur l'hébergement web, écraser les réglages de la passerelle de paiement et extraire les identifiants de portefeuilles de cryptomonnaie en clair. Les administrateurs de boutiques utilisant encore ce composant risquent ainsi la perte de leur plateforme et le détournement de leurs transactions.
Des attaques actives forcent le retrait immédiat
L'équipe de Defused Cyber a signalé des tentatives d'exploitation réelles provenant de serveurs virtuels anonymes loués sans vérification d'identité, comme le rapporte The Hacker News. Le répertoire officiel de WordPress a fermé la page de l'extension le 28 août 2026 pour un problème de sécurité non précisé, sans qu'aucun correctif logiciel ne soit publié. L'outil cumulait 1 845 téléchargements au total lors de cette clôture. En l'absence de mise à jour corrective disponible pour combler cette brèche, l'unique mesure consiste à désinstaller complètement le module. Les gestionnaires de sites concernés doivent ensuite renouveler les clés de leurs portefeuilles et inspecter minutieusement leurs journaux d'activité.
- 1 845 téléchargements cumulés de l'extension CryptoPayment Gateway thehackernews 2026-11-03
Nous observons des attaques réelles ciblant CVE-2026-81648, une faille critique dans CryptoPayment Gateway pour WordPress,