一个 WordPress 加密支付网关插件被打出 CVSS 10.0 的满分漏洞，没有补丁、已经在野利用，而且插件早在 8 月就从官方目录移除，还留在站上的只能自己动手拆。
一个 WordPress 加密支付网关插件被打出 CVSS 10.0 的满分漏洞，没有补丁、已经在野利用，而且插件早在 8 月就从官方目录移除，还留在站上的只能自己动手拆。
满分意味着什么
被追踪为 CVE-2026-81648 的问题出在 CryptoPayment Gateway 插件 1.2.1 到 1.2.2 两个版本上。研究方 Defused Cyber 在 11 月初确认攻击者正在主动扫描并命中这套环境，漏洞落点是一个没有做权限校验的 AJAX 端点：不需要登录、不需要任何角色，匿名请求就能调用本该只有管理员能碰的操作。
拿到端点之后有三条路可走：删任意文件、覆写支付网关配置、把存储中的钱包凭据以明文读出来。前两条合起来尤其危险——删掉 wp-config.php 会让 WordPress 退回安装向导，攻击者只要抢先完成安装就能接管整个域名；第三条则直接指向资金，私钥、网关 API 密钥、webhook 密钥一旦外流，收款地址可以被改，钱包里的余额也能被转走。
为什么这次不能等更新
常规处置逻辑在这里失效。插件维护方没有发布修复版，官方插件目录在 8 月 28 日就把它下架了，自动更新不会带来任何东西，等下一版等于一直开着门。这也是 10.0 这个分数真正的含义：攻击复杂度最低、无需权限、无需用户交互，且影响范围跨到站点之外的资产。
顺序建议按这个来。第一步是立即停用并删除插件，不要只是设为不激活，残留目录里的端点文件依然可能被调用；暂时切到一个仍在维护的支付网关，业务不能停就先人工收款。第二步是把所有关联凭据当成已泄露处理：钱包私钥、API 密钥、webhook 密钥、商户后台密码全部轮换，并且要在环境清干净之后生成新密钥，否则新钥匙会再被读一次。
排查和临时缓解
第三步翻日志。重点找指向插件目录的未认证 POST 和 GET、异常的支付配置变更、根目录里消失又出现的 wp-config.php，以及 wp-content 下近期新增或被改动的 PHP 文件。同时看支付记录有没有出现地址被替换的订单；有征兆就别只做修补，保留日志后从可信备份重建，再轮换这台机器上所有凭据。
过渡期可以在 WAF 上加针对插件路径的规则，拦掉明显畸形的请求，但要把话说清楚：WAF 只能削掉已知载荷，一旦源站 IP 可以绕过 CDN 直连，这层防护等于没有。它买的是几小时，不是解决方案。
对站长的实际影响
这件事值得写进运维规范的是「下架不等于卸载」。插件从官方目录消失后，站点后台通常不会收到任何提示，已装实例照常运行，插件清单里也看不出它已经没有维护者。凡是涉及资金、密钥、身份认证的插件，都应该单独记一张台账：谁在维护、最后一次更新是什么时候、出问题时的替代方案是什么、密钥存在哪里。这次的处置窗口是按小时算的，台账是唯一能把它缩短的东西。
本文根据公开报道整理，主要参考：ThreatWire Daily《Max-Severity WordPress Crypto Plugin Flaw Exposes Wallet Credentials》及 Defused Cyber 研究（2026-11-03）。
