История короткая и неприятная. В плагине CryptoPayment Gateway, который принимает криптовалютные платежи на WordPress, не хватало проверки авторизации на AJAX-эндпоинтах. Из-за этого запрос без всякого логина мог выполнить административные действия: удалить файлы и добраться до учётных данных кошельков.
Плагин закрыли в каталоге WordPress Plugin Directory 28 августа 2026 года именно из-за этой проблемы. Но закрытие в каталоге — не то же самое, что исправление: у тех, кто уже установил плагин, он продолжает работать. По данным Cyware, после закрытия его скачали ещё 1 845 раз, в том числе 20 — за последнюю неделю. То есть новые установки продолжаются, хотя официального источника у них уже нет.
Эксплуатацию зафиксировала Defused Cyber. Речь не о теоретической возможности: запросы к уязвимым сайтам уже идут, а исправленной версии нет.
Что делать владельцу сайта
Единственный надёжный вариант — удалить плагин целиком. Если он использовался для приёма платежей, нужно сначала переключить приём на другого провайдера или на прямые переводы, а потом удалять.
После удаления стоит исходить из того, что данные кошельков могли быть прочитаны: перевыпустить ключи и API-доступы, проверить балансы и историю транзакций, а также просмотреть файлы сайта и учётные записи на предмет изменений, которых вы не делали.
Отдельный урок — про то, как выбирать плагины. Если плагин закрыт в каталоге, это не значит, что им перестали пользоваться; это значит, что за его поддержку никто не отвечает, и обновления безопасности не придут.
The story is short and unpleasant. CryptoPayment Gateway, a WordPress plugin for accepting cryptocurrency payments, lacked authorisation checks on its AJAX endpoints. As a result, a request with no login at all could perform administrative actions: delete files and reach wallet credentials.
The plugin was closed in the WordPress Plugin Directory on 28 August 2026 precisely because of this. But closing the listing is not the same as fixing it: for anyone who already installed it, the plugin keeps running. According to Cyware it was downloaded another 1,845 times after closure, including 20 in the past week — new installs continue even though no official source exists.
Defused Cyber tracked exploitation. This is not a theoretical possibility: requests against vulnerable sites are already arriving, and there is no fixed version.
What a site owner should do
The only reliable option is to remove the plugin entirely. If it was used to take payments, move checkout to another provider or to direct transfers first, then delete it.
After removal, assume the wallet data may have been read: reissue keys and API credentials, check balances and transaction history, and review site files and accounts for changes you did not make.
There is a broader lesson about choosing plugins. A plugin closed in the directory does not mean it stopped being used; it means nobody is responsible for it any more and security updates will not arrive.