Falha crítica em plugin do WordPress expõe carteira cripto

Um plugin de pagamento em criptomoeda para WordPress recebeu a nota máxima possível de gravidade em uma falha de segurança — 10,0 em 10,0 na escala CVSS — e, segundo uma empresa de segurança que monitora ataques reais, já existem tentativas de invasão em curso contra sites que ainda o usam. Não existe correção disponível. O fabricante nunca publicou uma versão corrigida, e o próprio WordPress retirou o plugin da sua loja oficial em agosto, antes mesmo de a falha ser formalmente divulgada.

O caso é identificado como CVE-2026-81648 e atinge o plugin CryptoPayment Gateway, usado por lojas e sites que aceitam pagamento em criptomoedas dentro do WordPress. Nas versões 1.2.1 e 1.2.2 — as únicas que o fabricante chegou a disponibilizar — qualquer visitante do site, sem precisar de login nem de senha, consegue apagar arquivos do servidor, alterar a configuração de pagamento e recuperar as credenciais da carteira cripto guardadas em texto puro, sem nenhuma cifra protegendo.

A falha que ganhou a nota máxima de gravidade

A escala CVSS (Common Vulnerability Scoring System) é o termômetro que a indústria de segurança usa para medir o risco de uma falha, de 0 a 10. Dez é o teto: significa que o ataque não exige login, não exige interação da vítima, não depende de sorte, e o estrago alcança o sistema inteiro. O registro oficial da falha — coordenado pela WPScan, com crédito ao pesquisador Pedro Pinho — descreve o problema como "exclusão arbitrária de arquivos e alteração de configuração sem autenticação, por um roteador de AJAX sem proteção", classificado tecnicamente como CWE-862, falha de autorização ausente.

Na prática, "sem autenticação" quer dizer o que parece: não é preciso roubar senha nenhuma. A porta está destrancada.

Como o ataque funciona, em termos simples

Plugins de WordPress costumam usar um canal interno — o chamado endpoint de AJAX — para o próprio site conversar com o navegador do visitante sem precisar recarregar a página inteira: é assim que um botão de "adicionar ao carrinho" ou um formulário atualizam a tela na hora. Esse canal deveria verificar, a cada chamada, se quem está do outro lado tem permissão de administrador antes de executar qualquer ação sensível.

No CryptoPayment Gateway, essa verificação simplesmente não existe num dos canais. Qualquer pessoa na internet pode mandar o mesmo comando que só um administrador deveria poder mandar — e o plugin obedece.

O que um invasor consegue fazer sem precisar de senha nenhuma

Pela mesma porta aberta, três ações administrativas ficam ao alcance de qualquer visitante:

• Apagar arquivos arbitrários do servidor — sem nenhum pré-requisito. Qualquer site com o plugin ativo fica exposto a isso, tenha ou não uma carteira configurada.
• Reescrever a configuração do gateway de pagamento — trocar para onde o dinheiro é direcionado, por exemplo.
• Recuperar as credenciais da carteira cripto em texto puro — isto é, sem nenhuma cifra escondendo o valor. Essa parte específica só funciona se o plugin já tiver sido configurado ao menos uma vez pelo dono do site; a exclusão de arquivos, não — essa vale mesmo num site onde ninguém nunca chegou a cadastrar uma carteira.

Não existe correção — e o prazo já passa de dois meses

O registro da falha foi reservado em 27 de agosto de 2026 e publicado formalmente em 13 de setembro. Um dia antes disso, em 28 de agosto, o WordPress.org já havia fechado a página do plugin na sua loja oficial, citando um problema de segurança não detalhado — sinal de que o problema era conhecido internamente antes mesmo de virar um CVE público. Até a atualização mais recente do registro oficial, feita hoje, não existe nenhuma versão corrigida disponível. O conselho da própria WPScan, no aviso técnico, é direto: desativar e remover o plugin, porque não há o que atualizar.

A avaliação de risco mantida pela CISA (a agência de cibersegurança dos Estados Unidos) classifica a exploração como automatizável e de impacto técnico total — mas, até o momento, a falha não entrou no catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV) da própria CISA, que reúne os casos com exploração massiva já confirmada em escala.

Hackers já estão testando a porta

Em 2 de novembro de 2026, a empresa de inteligência de ameaças Defused Cyber relatou ter observado tentativas reais de exploração contra essa falha — o primeiro relato público conhecido de atividade de ataque em campo, cerca de sete semanas depois de o problema ter sido divulgado. O tráfego foi rastreado até uma infraestrutura de hospedagem anunciada como "VPS anônimo, sem verificação de identidade" — um tipo de serviço popular entre quem quer dificultar o próprio rastreamento. Nenhum grupo específico foi identificado como responsável.

É importante ser preciso aqui, porque a diferença muda o tamanho do alarme: o que existe confirmado são tentativas de exploração, não uma onda de lojas invadidas. Até a publicação desta matéria, não há relato confirmado de nenhum comerciante especificamente comprometido nem de criptomoeda efetivamente roubada por essa falha. O risco é real e a nota de gravidade é a máxima possível — mas o estágio é de sondagem ativa, não de prejuízo generalizado já documentado.

Por que isso importa mesmo para quem não vende em criptomoeda

Se a sua empresa não aceita pagamento em cripto, é tentador ler este caso como "não é comigo". O detalhe que vale carregar não é sobre moeda digital — é sobre o tipo de software que qualquer site usa todos os dias.

WordPress move uma fatia enorme dos sites do mundo, e cada site soma dezenas de plugins de fabricantes diferentes, muitos deles pequenos, sem equipe de segurança e sem obrigação nenhuma de continuar dando suporte. Um plugin assim pode ficar instalado, esquecido, por anos — até o dia em que alguém encontra uma porta como essa. A lição que fica não é "cuidado com cripto": é "seu site tem peças de terceiros que ninguém revisa com regularidade, e isso por si só já é um risco que precisa de monitoramento".

A Ragnatela é especialista em firewall e em cibersegurança: cuidamos de firewall e controle de acesso à borda e de monitoramento 24 horas justamente para que uma chamada administrativa vinda de um visitante anônimo, numa falha como essa, seja detectada antes de virar incidente — não depois.

O que fazer agora, na prática

• Usa o CryptoPayment Gateway? Remova o plugin do site imediatamente — não há versão corrigida para atualizar. Troque toda credencial de carteira, chave de API e dado de pagamento que ele chegou a guardar, e confira os registros do site por exclusão de arquivo ou mudança de configuração que você não fez.
• Não usa esse plugin específico? Aproveite o alerta para levantar a lista real de plugins ativos no seu site e perguntar, de cada um: quando foi a última atualização, e quem ainda dá suporte a ele.
• Em qualquer caso, uma chamada administrativa vinda de quem nunca fez login é exatamente o tipo de sinal que um serviço de monitoramento e segurança gerenciada existe para pegar — antes de o prejuízo acontecer, não depois do aviso na imprensa.

Fonte: WPScan — CryptoPayment Gateway <= 1.2.2 — Unauthenticated Arbitrary File Deletion and Settings Update via Unguarded AJAX Router, setembro de 2026.

Fonte: TokenPost — Defused Cyber Flags Exploit Attempts Against Critical WordPress Crypto Flaw, novembro de 2026.

Quer saber se a sua empresa tem alguma porta parecida com essa aberta sem ninguém saber? Fale com a equipe da Ragnatela e a gente conversa sobre o seu caso, sem custo.