CryptoPayment Gateway: faille 10/10 sans correctif attaquée
Le paiement crypto par WordPress s'expose sans correctif: effacement de fichiers, réécriture de la configuration, clés en clair. Retirer l'extension et pivoter.
Qui est touché
- Extensions WordPress CryptoPayment Gateway versions 1.2.1 et 1.2.2, y compris désactivées
- Microsites hôteliers acceptant des dépôts en crypto-monnaie via cette extension
- Environ 1 845 installations encore recensées après le retrait du répertoire officiel
Comment corriger
Retirer l'extension de tous les sites, même désactivée: le chemin de suppression de fichiers reste atteignable tant que le code est présent. Supprimer les fichiers résiduels du répertoire wp-content/plugins. Pivoter sans attendre les clés de portefeuille crypto et tout secret stocké par l'extension, et auditer la configuration de la passerelle de paiement. Rechercher dans les journaux web les requêtes vers le point d'entrée AJAX de l'extension. Tant qu'aucune version corrigée n'existe, ne pas réinstaller cette extension et bloquer le chemin côté WAF.
Ce qui se passe
L'extension WordPress CryptoPayment Gateway, dans ses versions 1.2.1 et 1.2.2, omet tout contrôle d'autorisation sur l'un de ses points d'entrée AJAX. Un attaquant non authentifié peut supprimer des fichiers arbitraires sur le serveur, réécrire la configuration de la passerelle de paiement et récupérer en clair les identifiants de portefeuille crypto stockés par l'extension. Le dossier CVE-2026-81648, noté 10,0 en CVSS 3.1 par NVD, a été publié le 13 septembre; l'extension a été retirée du répertoire officiel WordPress le 28 août, mais aucune version corrigée n'existe à ce jour et environ 1 845 installations restent dénombrées, avec encore des téléchargements récents. Depuis le 3 novembre, des tentatives d'exploitation active sont observées dans la nature, émises depuis des infrastructures louées sous l'appellation « anonymous KYC-free VPS ». La source de cette observation est unique à ce jour; le défaut, lui, est confirmé.
Pourquoi c'est grave pour un hôtel
Un microsite qui encaisse des acomptes en crypto-monnaie avec cette extension expose trois choses à la fois: les clés du portefeuille de l'établissement, la configuration du paiement, susceptible d'être détournée vers un autre destinataire, et l'intégrité des fichiers du site, la suppression pouvant être utilisée comme tremplin. Le point le plus contre-intuitif: la faille reste atteignable tant que le code est présent sur le serveur, désactivation comprise. Pour un établissement sans processus de correctif, la bonne question n'est pas « mettre à jour » mais « retirer ».
Qui est touché
- Tout site WordPress ayant installé CryptoPayment Gateway 1.2.1 ou 1.2.2, activé ou non.
- Résidences, campings et hôtels publiant un acompte crypto sur leur microsite ou leur page de réservation.
- Les hébergements mutualisés où le site d'un établissement voisin non nettoyé reste atteignable.
Comment corriger
- Retirer l'extension de chaque site, même désactivée, puis supprimer les fichiers résiduels sous wp-content/plugins.
- Pivoter immédiatement les clés de portefeuille crypto et tout secret enregistré par l'extension; tenir pour compromis tout portefeuille dont la clé était stockée là.
- Auditer la configuration de la passerelle (adresses de destination, seuils, modes) à la recherche d'une modification non autorisée.
- Rechercher dans les journaux web les appels au point d'entrée AJAX de l'extension et les suppressions de fichiers anormales.
- Ne pas réinstaller l'extension tant qu'aucune version corrigée n'existe; si l'encaissement crypto est indispensable, le confiner à un service hébergé séparé du microsite.
Contexte
Ce dossier illustre le risque spécifique de la filière microsites: une extension peu maintenue, retirée du répertoire mais jamais retirée des serveurs, avec un défaut noté 10,0 et désormais un correctif qui n'arrivera pas. La vague WordPress de cette semaine (course de mise à jour du cœur, LiteSpeed Cache, Security For WooCommerce, WP Libre Form) confirme que l'inventaire des extensions, y compris désactivées, est devenu un réflexe d'exploitation hôtelière au même titre que l'inventaire des postes.