Co se stalo
Bezpečnostní databáze WPScan zveřejnila 10. září 2026 kritickou zranitelnost v pluginu CryptoPayment Gateway pro WordPress, který slouží k přijímání plateb v kryptoměnách. Chyba má označení CVE-2026-81648, v evropské databázi ENISA je vedena jako EUVD-2026-77085. Objevil ji výzkumník Pedro Pinho a do americké databáze NVD přibyla 13. září 2026.
Podstata problému je jednoduchá. Jedna z funkcí pluginu, kterou stránka volá na pozadí (takzvaný AJAX), vůbec nekontroluje, kdo ji volá. Kdokoli z internetu tak může spouštět operace určené jen administrátorovi: mazat soubory na serveru, přepsat nastavení platební brány a získat uložené přístupové údaje k peněženkám v čitelné podobě.
Opravená verze neexistuje. WPScan uvádí, že oprava není známa, a podle The Hacker News byl plugin 28. srpna 2026 uzavřen v oficiálním adresáři pluginů WordPress kvůli blíže nespecifikovanému bezpečnostnímu problému. Od té doby už jej nelze stáhnout.
The Hacker News 3. listopadu 2026 informoval, že firma Defused Cyber zaznamenala pokusy o zneužití této chyby v reálném provozu. Útoky přicházely z infrastruktury, která se propaguje jako „Anonymous KYC-Free VPS Hosting“. Americká agentura CISA chybu zatím nezařadila do katalogu prokazatelně zneužívaných zranitelností a ani ENISA neeviduje potvrzené zneužití.
Proč je to nebezpečné
Jde o chybějící kontrolu oprávnění (CWE-862), WPScan ji řadí mezi chyby řízení přístupu. Představte si kancelář, kde na dveřích ředitele visí cedulka „jen pro vedení“, ale dveře jsou odemčené a nikdo nekontroluje, kdo vchází. Návštěvník z ulice si sedne za ředitelův stůl a dělá, co chce.
Útočník se nemusí přihlásit, nepotřebuje žádný účet a nemusí nikoho přimět, aby na něco klikl. Stačí, že web s pluginem je dostupný z internetu. Co může získat:
- Mazání libovolných souborů na serveru. To může web vyřadit z provozu nebo poškodit důležité soubory WordPressu.
- Přepsání nastavení platební brány. V praxi to může znamenat, že platby zákazníků půjdou jinam, než mají.
- Získání uložených přístupových údajů k peněženkám v otevřeném textu, což může vést ke ztrátě prostředků.
WPScan ani The Hacker News nehovoří o spuštění vlastního kódu na serveru ani o šíření útoku dál do firemní sítě. Pro e-shop přijímající kryptoměny je to přesto vážné, protože jde přímo o peníze a důvěru zákazníků.
Skóre CVSS hodnotí závažnost chyby na stupnici od 0 do 10. Tato chyba má 10,0, tedy maximum, a přidělil ho WPScan podle CVSS 3.1. Hodnocení zohledňuje útok po síti, nízkou náročnost, žádné přihlášení a to, že dopad přesahuje samotný plugin.
EPSS odhaduje pravděpodobnost, že se chyba začne zneužívat v příštích 30 dnech. K 3. listopadu 2026 je to přibližně 0,5 %, což je více než u zhruba 43 % ostatních známých zranitelností. Katalog CISA KEV je seznam chyb, jejichž zneužívání agentura CISA potvrdila, a tato chyba v něm zatím není. Nízká čísla neznamenají bezpečí, protože Defused Cyber pokusy o útoky už pozoruje.
Koho se to týká
Týká se to webů na WordPressu s nainstalovaným pluginem CryptoPayment Gateway ve verzi 1.2.1 nebo 1.2.2. Verze 1.2.2 je poslední vydaná, takže novější bezpečná verze neexistuje. Typicky jde o e-shopy a weby přijímající platby v kryptoměnách, ať už běží na sdíleném webhostingu, VPS nebo vlastním firemním serveru.
Podle The Hacker News byl plugin stažen celkem 1 845krát, z toho 20krát za posledních sedm dní. Kolik webů ho skutečně používá, není známo.
Netýká se to webů, které tento plugin nemají. Nejde o chybu samotného WordPressu ani jiných platebních pluginů. WPScan ani NVD neuvádějí, zda jsou zranitelné i verze starší než 1.2.1. Protože plugin už není dostupný ani udržovaný, doporučujeme jej odstranit v jakékoli verzi.
Jak zjistit, zda jste zasaženi
Nejrychlejší je podívat se do administrace WordPressu. V menu Pluginy hledejte CryptoPayment Gateway a u něj číslo verze. Zkontrolujte i neaktivní pluginy, jejich soubory zůstávají na serveru.
Pokud máte přístup přes SSH a nástroj WP-CLI, spusťte v adresáři webu tyto příkazy. Pouze čtou údaje a nic nemění:
wp plugin list
wp plugin get cryptopayment-gateway --field=versionBez WP-CLI zjistíte, zda na serveru existuje adresář pluginu (obvykle cryptopayment-gateway), a verzi přečtete z hlavičky jeho souborů:
ls -la wp-content/plugins/ | grep -i crypto
grep -i "Version:" wp-content/plugins/cryptopayment-gateway/*.phpPokud spravujete více webů nebo používáte spravovaný webhosting, požádejte poskytovatele o kontrolu všech instalací.
Jak to opravit
Opravená verze neexistuje a WPScan uvádí, že oprava není známa. Plugin je navíc uzavřen v adresáři WordPress, takže aktualizace nepřijde. The Hacker News doporučuje plugin odstranit, vyměnit klíče k peněženkám a zkontrolovat podezřelé změny. Postupujte v tomto pořadí:
- Zálohujte web i databázi. Záloha poslouží jako důkaz, pokud byste později zjišťovali, zda došlo k útoku.
- Plugin deaktivujte a smažte, v administraci v menu Pluginy nebo přes WP-CLI.
- Vyměňte všechny přístupové údaje a klíče k peněženkám, které byly v pluginu uložené. Pokud umožňovaly přístup k prostředkům, převeďte je do nové peněženky.
- Zkontrolujte, na jaké adresy peněženek chodily platby, a ověřte, že na webu nechybí soubory.
- Změňte hesla administrátorů WordPressu a přístupy k hostingu.
- Pro přijímání kryptoplateb nasaďte jiné, aktivně udržované řešení.
wp db export zaloha-pred-odstranenim.sql
wp plugin deactivate cryptopayment-gateway
wp plugin delete cryptopayment-gatewayPokud plugin nemůžete hned smazat, například proto, že na něm závisí e-shop, alespoň jej okamžitě deaktivujte a dočasně vypněte platby kryptoměnami. WPScan ani The Hacker News jiné dočasné řešení neuvádějí. Na aktualizaci nečekejte, žádná není ohlášena.
Co když už jste mohli být napadeni
Protože Defused Cyber pozoruje pokusy o útoky, vyplatí se prověřit, zda se někdo o váš web už nepokoušel. Konkrétní IP adresy ani jiné technické indikátory zveřejněny nebyly. Známo je pouze to, že útoky přicházely z infrastruktury propagující se jako „Anonymous KYC-Free VPS Hosting“. Na co se podívat:
- Logy webového serveru: požadavky POST na
admin-ajax.phpz neznámých IP adres. Tento soubor používá i WordPress a jiné pluginy, proto hledejte neobvyklé množství nebo neznámé odesílatele. - Nastavení platební brány: změněné adresy peněženek nebo údaje, které jste nezadali.
- Peněženky a objednávky: transakce, které jste neschválili, nebo platby směřující na cizí adresu.
- Chybějící nebo poškozené soubory a nefunkční části webu.
zgrep -hE '"POST [^ ]*admin-ajax\.php' /var/log/apache2/access.log* | less
zgrep -hE '"POST [^ ]*admin-ajax\.php' /var/log/nginx/access.log* | less
wp core verify-checksumsPrvní příkaz je pro Apache, druhý pro Nginx, prohledají i starší komprimované logy. Cesta k logům se liší podle serveru, na webhostingu je najdete v administraci nebo vám je poskytne podpora. Příkaz wp core verify-checksums porovná soubory WordPressu s oficiálními a nahlásí chybějící nebo změněné. Pokud najdete změněná nastavení, neznámé pohyby v peněžence nebo chybějící soubory, důkazy zachovejte a přizvěte odborníka na bezpečnost.