Čo sa stalo
Bezpečnostná databáza WPScan zverejnila 10. septembra 2026 kritickú zraniteľnosť v plugine CryptoPayment Gateway pre WordPress, ktorý slúži na prijímanie platieb v kryptomenách. Chyba má označenie CVE-2026-81648, v európskej databáze ENISA vedie ako EUVD-2026-77085. Objavil ju výskumník Pedro Pinho a do americkej databázy NVD pribudla 13. septembra 2026.
Podstata problému je jednoduchá. Jedna z funkcií pluginu, ktorú stránka volá na pozadí (takzvaný AJAX), vôbec nekontroluje, kto ju volá. Ktokoľvek z internetu tak môže spúšťať operácie určené len administrátorovi: mazať súbory na serveri, prepísať nastavenia platobnej brány a získať uložené prístupové údaje k peňaženkám v čitateľnej podobe.
Opravená verzia neexistuje. WPScan uvádza, že oprava nie je známa, a podľa The Hacker News bol plugin 28. augusta 2026 uzavretý v oficiálnom adresári pluginov WordPress pre bližšie nešpecifikovaný bezpečnostný problém. Odvtedy sa už nedá stiahnuť.
The Hacker News 3. novembra 2026 informoval, že firma Defused Cyber zaznamenala pokusy o zneužitie tejto chyby v reálnej prevádzke. Útoky prichádzali z infraštruktúry, ktorá sa propaguje ako „Anonymous KYC-Free VPS Hosting“. Americká agentúra CISA chybu zatiaľ nezaradila do katalógu potvrdene zneužívaných zraniteľností a ani ENISA neeviduje potvrdené zneužitie.
Prečo je to nebezpečné
Ide o chýbajúcu kontrolu oprávnení (CWE-862), WPScan ju radí medzi chyby riadenia prístupu. Predstavte si kanceláriu, kde na dverách riaditeľa visí nápis „len pre vedenie“, ale dvere sú odomknuté a nikto nekontroluje, kto vchádza. Návštevník z ulice si sadne za riaditeľov stôl a robí, čo chce.
Útočník sa nemusí prihlásiť, nepotrebuje žiadny účet a nemusí nikoho prinútiť, aby na niečo klikol. Stačí, že web s pluginom je dostupný z internetu. Čo môže získať:
- Mazanie ľubovoľných súborov na serveri. To môže web vyradiť z prevádzky alebo poškodiť dôležité súbory WordPressu.
- Prepísanie nastavení platobnej brány. V praxi to môže znamenať, že platby zákazníkov pôjdu inam, než majú.
- Získanie uložených prístupových údajov k peňaženkám v otvorenom texte, čo môže viesť k strate prostriedkov.
WPScan ani The Hacker News nehovoria o spustení vlastného kódu na serveri ani o šírení útoku ďalej do firemnej siete. Pre e-shop prijímajúci kryptomeny je to však aj tak vážne, pretože ide priamo o peniaze a dôveru zákazníkov.
Skóre CVSS hodnotí závažnosť chyby na stupnici od 0 do 10. Táto chyba má 10,0, teda maximum, a pridelil ho WPScan podľa CVSS 3.1. Hodnotenie zohľadňuje útok cez sieť, nízku náročnosť, žiadne prihlásenie a to, že dopad presahuje samotný plugin.
EPSS odhaduje pravdepodobnosť, že sa chyba začne zneužívať v najbližších 30 dňoch. K 3. novembru 2026 je to približne 0,5 %, čo je viac ako pri zhruba 43 % ostatných známych zraniteľností. Katalóg CISA KEV je zoznam chýb, ktorých zneužívanie agentúra CISA potvrdila, a táto chyba v ňom zatiaľ nie je. Nízke čísla neznamenajú bezpečie, keďže Defused Cyber pokusy o útoky už pozoruje.
Koho sa to týka
Týka sa to webov na WordPresse s nainštalovaným pluginom CryptoPayment Gateway vo verzii 1.2.1 alebo 1.2.2. Verzia 1.2.2 je posledná vydaná, takže novšia bezpečná verzia neexistuje. Typicky ide o e-shopy a weby prijímajúce platby v kryptomenách, či už bežia na zdieľanom webhostingu, VPS alebo vlastnom firemnom serveri.
Podľa The Hacker News bol plugin stiahnutý celkovo 1 845-krát, z toho 20-krát za posledných sedem dní. Koľko webov ho naozaj používa, nie je známe.
Netýka sa to webov, ktoré tento plugin nemajú. Nejde o chybu samotného WordPressu ani iných platobných pluginov. WPScan ani NVD neuvádzajú, či sú zraniteľné aj verzie staršie ako 1.2.1. Keďže plugin už nie je dostupný ani udržiavaný, odporúčame ho odstrániť v akejkoľvek verzii.
Ako zistiť, či ste zasiahnutí
Najrýchlejšie je pozrieť sa do administrácie WordPressu. V menu Pluginy hľadajte CryptoPayment Gateway a pri ňom číslo verzie. Skontrolujte aj neaktívne pluginy, ich súbory zostávajú na serveri.
Ak máte prístup cez SSH a nástroj WP-CLI, spustite v adresári webu tieto príkazy. Iba čítajú údaje a nič nemenia:
wp plugin list
wp plugin get cryptopayment-gateway --field=versionBez WP-CLI zistíte, či na serveri existuje adresár pluginu (zvyčajne cryptopayment-gateway), a verziu prečítate z hlavičky jeho súborov:
ls -la wp-content/plugins/ | grep -i crypto
grep -i "Version:" wp-content/plugins/cryptopayment-gateway/*.phpAk spravujete viac webov alebo používate spravovaný webhosting, požiadajte poskytovateľa o kontrolu všetkých inštalácií.
Ako to opraviť
Opravená verzia neexistuje a WPScan uvádza, že oprava nie je známa. Plugin je navyše uzavretý v adresári WordPress, takže aktualizácia nepríde. The Hacker News odporúča plugin odstrániť, vymeniť kľúče k peňaženkám a skontrolovať podozrivé zmeny. Postupujte v tomto poradí:
- Zálohujte web aj databázu. Záloha poslúži ako dôkaz, ak by ste neskôr zisťovali, či došlo k útoku.
- Plugin deaktivujte a vymažte, v administrácii v menu Pluginy alebo cez WP-CLI.
- Vymeňte všetky prístupové údaje a kľúče k peňaženkám, ktoré boli v plugine uložené. Ak umožňovali prístup k prostriedkom, presuňte ich do novej peňaženky.
- Skontrolujte, na aké adresy peňaženiek chodili platby, a overte, že na webe nechýbajú súbory.
- Zmeňte heslá administrátorov WordPressu a prístupy k hostingu.
- Na prijímanie kryptoplatieb nasaďte iné, aktívne udržiavané riešenie.
wp db export zaloha-pred-odstranenim.sql
wp plugin deactivate cryptopayment-gateway
wp plugin delete cryptopayment-gatewayAk plugin nemôžete hneď vymazať, napríklad preto, že od neho závisí e-shop, aspoň ho okamžite deaktivujte a dočasne vypnite platby kryptomenami. WPScan ani The Hacker News iné dočasné riešenie neuvádzajú. Na aktualizáciu nečakajte, žiadna nie je ohlásená.
Čo ak už ste mohli byť napadnutí
Keďže Defused Cyber pozoruje pokusy o útoky, oplatí sa preveriť, či sa niekto o váš web už nepokúšal. Konkrétne IP adresy ani iné technické indikátory zverejnené neboli. Známe je iba to, že útoky prichádzali z infraštruktúry propagujúcej sa ako „Anonymous KYC-Free VPS Hosting“. Na čo sa pozrieť:
- Logy webového servera: požiadavky POST na
admin-ajax.phpz neznámych IP adries. Tento súbor používa aj WordPress a iné pluginy, preto hľadajte nezvyčajné množstvo alebo neznámych odosielateľov. - Nastavenia platobnej brány: zmenené adresy peňaženiek alebo údaje, ktoré ste nezadali.
- Peňaženky a objednávky: transakcie, ktoré ste neschválili, alebo platby smerované na cudziu adresu.
- Chýbajúce alebo poškodené súbory a nefunkčné časti webu.
zgrep -hE '"POST [^ ]*admin-ajax\.php' /var/log/apache2/access.log* | less
zgrep -hE '"POST [^ ]*admin-ajax\.php' /var/log/nginx/access.log* | less
wp core verify-checksumsPrvý príkaz je pre Apache, druhý pre Nginx, prehľadajú aj staršie skomprimované logy. Cesta k logom sa líši podľa servera, na webhostingu ich nájdete v administrácii alebo vám ich poskytne podpora. Príkaz wp core verify-checksums porovná súbory WordPressu s oficiálnymi a nahlási chýbajúce alebo zmenené. Ak nájdete zmenené nastavenia, neznáme pohyby v peňaženke alebo chýbajúce súbory, dôkazy zachovajte a prizvite odborníka na bezpečnosť.