CryptoPayment Gateway: kritiek WordPress-lek wordt aangevallen, er is nog geen patch

Aanvallers proberen op dit moment een kritiek lek in de WordPress-plugin CryptoPayment Gateway te misbruiken. Het lek heeft nummer CVE-2026-81648 en scoort de maximale 10.0 op de CVSS-schaal. Volgens de beschikbare bronnen is er geen bekende oplossing. Gebruik je deze plugin op je website of webshop, dan is het advies om hem te verwijderen.

Wat is er aan de hand?

Volgens The Hacker News heeft beveiligingsbedrijf Defused Cyber pogingen gezien om dit lek te misbruiken. De aanvallen kwamen van infrastructuur die anonieme VPS-hosting zonder identiteitscontrole aanbiedt. Of er ook echt websites zijn gehackt, is niet bevestigd.

Het probleem zit in een AJAX-endpoint van de plugin dat geen controle uitvoert op wie het aanroept. Daardoor kan iemand zonder inlogaccount beheerdersacties uitvoeren. In de beschrijving van de kwetsbaarheid, die onder meer SentinelOne en Wiz overnemen, staan drie mogelijke gevolgen:

• bestanden op de server verwijderen;
• de instellingen van de betaalmodule overschrijven;
• opgeslagen wallet-gegevens in leesbare tekst terughalen.

Ook Crypto Times schreef op 3 november over de aanvallen.

Welke versies zijn getroffen?

Hier spreken de bronnen elkaar tegen. Volgens de ene beschrijving gaat het om versies 1.2.1 tot en met 1.2.2. Een andere bron noemt alle versies vóór 1.2.3. Wij kiezen dus geen kant: ga ervan uit dat elke versie die je draait risico loopt, zolang er geen gepubliceerde fix is.

Er is geen patch, en de plugin is gesloten

Het lek is volgens de bronnen in september 2026 gepubliceerd. Het WPScan-record noemt Pedro Pinho als vinder. Er is volgens WPScan geen bekende oplossing. De plugin is bovendien sinds augustus 2026 gesloten in de officiële WordPress-pluginmap, om een reden die niet is gepubliceerd. Dat betekent dat je geen updates via je dashboard mag verwachten.

Wat moet je doen?

De adviezen uit de bronnen komen op hetzelfde neer:

1. Controleer je plugins. Open in WordPress het overzicht van geïnstalleerde plugins en kijk of CryptoPayment Gateway erbij staat, ook als hij niet actief is.
2. Verwijder de plugin. Uitschakelen is het minimum, maar verwijderen is veiliger. SentinelOne adviseert de plugin uit te zetten of te verwijderen tot er een gepatchte versie is.
3. Wissel je wallet-sleutels. Heeft de plugin draaiend gestaan, vervang dan de sleutels of inloggegevens die erin stonden. Maak er nieuwe aan bij de aanbieder.
4. Kijk of er iets is veranderd. Controleer of betaalinstellingen nog kloppen, of er bestanden ontbreken en of er onbekende beheerders zijn.
5. Overweeg een firewallregel. SentinelOne noemt een WAF-regel die pogingen blokkeert. Dat helpt als tijdelijke maatregel, maar vervangt het verwijderen niet.

Wat betekent dit voor jouw bedrijf?

Een betaalplugin is een van de gevoeligste onderdelen van een website. Wie crypto-betalingen accepteert en een kleine webshop draait, heeft vaak geen eigen beveiligingsteam. Het geval laat zien waarom een plugin die niet meer wordt onderhouden of uit de pluginmap is gehaald, een risico is. Zonder updates blijft een lek open.

Een paar vuistregels helpen: installeer alleen plugins die actief worden bijgehouden, haal ongebruikte plugins weg en controleer regelmatig of er nieuwe beveiligingsmeldingen zijn voor wat je gebruikt. Ook het recente lek in Easy Digital Downloads zat in de betaalstroom.

Wil je weten of jouw WordPress-site veilig draait of heb je hulp nodig bij het opruimen van plugins? Kijk dan naar ons website-onderhoud. Meer nieuws lees je op onze nieuwspagina.

Bronnen: The Hacker News, Crypto Times, SentinelOne, Wiz. Wij konden de bronpagina's niet rechtstreeks openen; de details zijn gebaseerd op samenvattingen uit zoekresultaten.