WORDPRESS SECURITY

CryptoPayment Gatewayに未認証で任意ファイル削除・設定改変・ウォレット資格情報取得が可能なCritical脆弱性（CVE-2026-81648）

Critical

WordPressプラグイン「CryptoPayment Gateway」の脆弱性情報（CVE-2026-81648）。影響バージョンは1.2.1〜1.2.2。修正版なし（修正版未確認・WordPress.orgで配布停止）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: CryptoPayment Gateway（プラグイン）
CVE: CVE-2026-81648
CVSS / 深刻度: 10 / Critical
影響バージョン: 1.2.1〜1.2.2
修正版: なし（修正版未確認・WordPress.orgで配布停止）
脆弱性種別: 未認証のMissing Authorization / 任意ファイル削除 / 設定改変 / ウォレット資格情報漏えい

脆弱性の概要

CryptoPayment Gateway 1.2.1〜1.2.2には、未認証の攻撃者が管理者向けAJAX処理を呼び出し、サーバー上の任意ファイル削除、決済設定の上書き、保存されたウォレット資格情報の平文取得を行えるCritical脆弱性があります。CVSS 10.0で、サイト破壊や決済情報侵害につながる重大な問題です。

技術的な内容

認可チェックのないAJAXルーターから管理操作を実行できることが原因です。CVE/WPScanではAV:N/AC:L/PR:N/UI:N、CVSS 10.0 Criticalと評価されています。WordPress.orgでは現行版1.2.2のまま2026年8月28日から配布停止中で、確認時点で修正版はありません。CISA KEV掲載や信頼できる実攻撃確認は確認できません。

悪用状況

実攻撃は未確認

推奨対応

利用中の場合は直ちにプラグインを停止・削除してください。保存していたウォレット資格情報や決済関連シークレットは漏えいを前提にローテーションし、不審なファイル削除、wp_options等の設定変更、決済先変更、Webサーバーログを確認してください。正常なバックアップも確保してください。

情報源

情報確認日時：2026年9月14日 13:04

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。