重要ポイント
- 何が起きたか: WordPress プラグイン「CryptoPayment Gateway」に、CVSS 10.0 の脆弱性(CVE-2026-81648)が見つかり、悪用の試みが観測されています
- 影響: バージョン 1.2.1〜1.2.2(最新版を含む)
- 修正版: ありません。プラグインは 2026年8月28日に「セキュリティ上の問題」を理由に WordPress.org で非公開になっています
- 対処: 使っている場合はすぐに無効化して削除し、不審な管理者アカウントや変更がないか確認します
- 公開日: 2026年11月3日(報道)
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| CryptoPayment Gateway(WordPress プラグイン) | 1.2.1〜1.2.2 | なし(公式情報で未公表。配布停止中) |
対処: 修正版がないため、プラグインを無効化して削除します。wp plugin deactivate スラッグ と wp plugin delete スラッグ、または管理画面の「プラグイン」から行います。
確認: wp plugin list または管理画面の「プラグイン → インストール済みプラグイン」で、名前とバージョンを確認します。
概要
2026年11月3日、WordPress の暗号資産決済プラグイン「CryptoPayment Gateway」に CVSS 10.0 の脆弱性(CVE-2026-81648)があり、悪用の試みが観測されていると報じられました。セキュリティ企業 Defused Cyber が観測したもので、攻撃元は匿名の VPS 事業者のインフラでした。修正版はなく、プラグインは8月28日から WordPress.org で入手できません。利用中のサイトは、無効化と削除を急いでください。
影響と対処
影響を受けるもの
CryptoPayment Gateway 1.2.1〜1.2.2 を入れている WordPress サイトです。累計ダウンロード数は約1,800回と少なく、稼働中のサイト数は不明です。ただし、悪用の試みはすでに観測されています。
どんな問題か
CVSS 10.0 は、ネットワーク経由で認証なしに深刻な影響が出る場合の最高評価です。詳しい仕組みは、報道では詳しく示されていません(攻撃の手順はここでも書きません)。
対処方法
- プラグインを無効化し、削除する(修正版がないため、更新では解決しません)
- 決済を続けるなら、メンテナンスされている別の決済手段へ切り替える
- ウォレットのアドレスや決済の設定が書き換えられていないか確認する
確認方法
管理画面のユーザー一覧に見覚えのない管理者がいないか、最近変更されたファイルがないか、アクセスログに不審な要求がないかを確認します。侵害が疑われる場合は、バックアップからの復元と、パスワード・認証キー(salt)の入れ替えを検討してください。
対応チェックリスト
- サイトにこのプラグインが入っているか確認する
- 入っていれば無効化して削除する
- 管理者アカウント・変更されたファイル・ログを確認する
- 決済設定(ウォレットのアドレスなど)が正しいか確認する
