CryptoPayment Gateway Eklentisindeki Kritik Açık Cüzdan Bilgilerini Tehlikeye Atıyor

Siber güvenlik firması Defused Cyber, WordPress için geliştirilmiş CryptoPayment Gateway eklentisinde CVSS puanı 10,0 olan maksimum ciddiyet düzeyinde bir güvenlik açığının aktif olarak istismar edilmeye çalışıldığını duyurdu. CVE-2026-81648 olarak kayıtlara geçen bu açık, kimlik doğrulaması yapılmamış kullanıcıların sunucu üzerinde kritik işlemler gerçekleştirmesine olanak tanıyor.

Açık Nasıl Çalışıyor?​

NIST Ulusal Güvenlik Açığı Veritabanı'nda (NVD) yayımlanan teknik açıklamaya göre, eklentinin 1.2.1 ile 1.2.2 sürümleri arasındaki versiyonları, AJAX uç noktalarından birine yetkilendirme denetimi uygulamıyor. Bu durum, kimliği doğrulanmamış herhangi bir kullanıcının yönetici düzeyindeki işlemleri tetikleyebilmesine yol açıyor.
Söz konusu açığın başarıyla istismar edilmesi durumunda saldırganlar; sunucu üzerindeki rastgele dosyaları silebiliyor, ödeme ağ geçidi yapılandırmasının üzerine yazabiliyor ve açık metin olarak saklanan cüzdan kimlik bilgilerini ele geçirebiliyor. Etkilenen sürümler 1.2.1 ile 1.2.2 olup 1.2.2, eklentinin şu ana kadar yayımlanmış en güncel sürümüdür. WP Scan'in verilerine göre açık için bilinen herhangi bir yama bulunmuyor.

Eklenti WordPress Dizininden Kaldırıldı​

28 Ağustos 2026 itibarıyla CryptoPayment Gateway eklentisi, belirtilmemiş bir "güvenlik sorunu" gerekçesiyle WordPress Eklenti Dizini'nden kaldırıldı ve artık indirmeye kapalı. Mevcut istatistikler, eklentinin toplamda 1.845 kez indirildiğini ve son yedi gün içinde 20 indirme gerçekleştiğini gösteriyor. Eklentinin herhangi bir WordPress sitesinde hâlâ aktif biçimde kurulu olup olmadığı ise belirsizliğini koruyor.

Saldırılar Anonim Altyapıdan Geliyor​

Defused Cyber, X platformundaki paylaşımında CVE-2026-81648 açığına yönelik gerçek ortamda istismar girişimleri gözlemlediklerini açıkladı. Firma, tespit ettikleri saldırıların kendilerini "Anonim KYC-Ücretsiz VPS Barındırma" olarak tanıtan altyapılardan kaynaklandığını belirtti. Bu tür altyapıların kötü niyetli aktörler tarafından kimlik tespitinden kaçınmak amacıyla tercih edildiği biliniyor.

Site Sahiplerine Acil Önlem Çağrısı​

Açık için henüz resmi bir düzeltme yayımlanmadığından, eklentiyi kullanan site sahiplerine derhal harekete geçmeleri tavsiye ediliyor. Güvenlik uzmanları bu aşamada üç temel adımı öneriyor: eklentinin siteden tamamen kaldırılması, mevcut cüzdan anahtarlarının yenilenmesi ve olası şüpheli değişikliklere karşı site yapılandırmasının denetlenmesi.

Sıkça Sorulan Sorular​

CVE-2026-81648 açığı hangi eklenti sürümlerini etkiliyor?​

Açık, CryptoPayment Gateway eklentisinin 1.2.1 ile 1.2.2 sürümlerini etkiliyor. 1.2.2, eklentinin en güncel sürümü olup şu ana kadar bu açığa yönelik yayımlanmış herhangi bir yama bulunmuyor.

Bu açık saldırganların ne yapmasına olanak tanıyor?​

Açığı başarıyla istismar eden saldırganlar; sunucudaki rastgele dosyaları silebiliyor, ödeme ağ geçidi yapılandırmasının üzerine yazabiliyor ve açık metin olarak saklanan cüzdan kimlik bilgilerini ele geçirebiliyor. Tüm bu işlemler kimlik doğrulaması yapılmadan gerçekleştirilebiliyor.

Eklenti neden WordPress Eklenti Dizini'nden kaldırıldı?​

CryptoPayment Gateway eklentisi, 28 Ağustos 2026 itibarıyla belirtilmemiş bir "güvenlik sorunu" gerekçesiyle WordPress Eklenti Dizini'nden kaldırıldı ve artık indirmeye kapalı.

Saldırıların kaynağı hakkında ne biliniyor?​

Defused Cyber'ın açıklamasına göre kayıt altına alınan saldırılar, kendilerini "Anonim KYC-Ücretsiz VPS Barındırma" olarak tanıtan altyapılardan geliyor. Saldırıların arkasında kimin olduğuna dair kaynakta başka bir bilgi yer almıyor.

Eklentiyi kullanan site sahipleri ne yapmalı?​

Açık için henüz bir yama yayımlanmadığından, güvenlik uzmanları site sahiplerine eklentiyi kaldırmalarını, cüzdan anahtarlarını yenilemelerini ve sitelerinde şüpheli değişiklik olup olmadığını denetlemelerini öneriyor.