ผู้โจมตีเริ่มยิงช่องโหว่ CVSS 10.0 ในปลั๊กอิน CryptoPayment Gateway ของ WordPress ที่ยังไม่มีแพตช์ — ไม่ต้องล็อกอินก็ลบไฟล์และดึงข้อมูลกระเป๋าคริปโตแบบข้อความล้วนได้
Defused Cyber พบความพยายามโจมตีจริงต่อ CVE-2026-81648 ช่องโหว่ CVSS 10.0 ในปลั๊กอิน CryptoPayment Gateway ของ WordPress เวอร์ชัน 1.2.1-1.2.2 ปลั๊กอินไม่ตรวจสิทธิ์ที่ AJAX endpoint หนึ่ง ผู้ใช้ที่ไม่ได้ล็อกอินจึงลบไฟล์ เขียนทับค่าตั้งเกตเวย์ และดึง credential กระเป๋าคริปโตแบบข้อความล้วนได้ ปลั๊กอินถูกปิดจากคลัง WordPress ตั้งแต่ 28 ส.ค. และยังไม่มีแพตช์ ยอดดาวน์โหลดรวม 1,845 ครั้ง แต่ยังไม่ชัดว่ามีเว็บไซต์ใช้งานอยู่กี่แห่ง เจ้าของเว็บควรถอดปลั๊กอิน หมุนคีย์กระเป๋า และตรวจการเปลี่ยนแปลงที่น่าสงสัย