ウェブサイト作成ソフト「ワードプレス（WordPress）」向けの仮想通貨決済プラグイン「CryptoPayment Gateway」に、深刻度が最高評価（CVSS 10.0）の脆弱性が見つかり、すでに実際の攻撃に悪用されています。識別番号はCVE-2026-81648です。
認証なしで管理者操作が可能
脆弱性はプラグインのバージョン1.2.1〜1.2.2に存在します。米セキュリティ情報基盤NVDの説明によると、プラグインの一部のAJAXエンドポイント（外部からの要求を受け付ける窓口）に認証チェックがなく、ログインしていない第三者が管理者権限の操作を実行できてしまいます。具体的には、サーバー上の任意ファイルの削除、決済設定の上書き、さらに保存された仮想通貨ウォレットの認証情報を平文（暗号化されていない状態）で盗み出すことまで可能とされています。
すでに実際の攻撃を確認
セキュリティ企業Defused Cyberによると、この欠陥を狙った攻撃がすでに実際に観測されています。攻撃は「匿名・本人確認（KYC）不要」をうたうVPSホスティングから発信されており、攻撃者の特定を難しくしています。
修正版はなく「削除」が唯一の対策
問題のプラグインは2026年8月28日に「セキュリティ上の問題」で公式ディレクトリから公開停止となり、修正版は提供されていません。ダウンロード総数は約1,845回と限定的ですが、脆弱性情報サービスWPScanは「既知の修正は存在しない」と警告します。専門家はプラグインの即時削除とウォレット鍵の再発行を強く勧めています。
日本への影響
ワードプレスは世界のウェブサイトの約4割で使われ、日本でも中小企業の公式サイトや個人のネットショップ、ブログで広く利用されています。今回のプラグイン自体の利用者は限られるとみられますが、問題の本質は「開発が止まり、放置されたプラグインの危うさ」にあります。日本でも、一度導入したまま更新が止まったプラグインや、公開停止になったまま残り続けるプラグインを抱えるサイトは少なくなく、同じような脆弱性が悪用される土壌があります。とりわけ仮想通貨決済を扱うサイトでは、ウォレットの認証情報が盗まれれば資産が直接流出する深刻な被害につながります。サイト運営者は、使っていないプラグインを削除し、公式ディレクトリから消えたものは速やかに外す、という基本的な運用を徹底することが求められます。
まとめ：便利なプラグインも、放置すれば侵入口に変わります。自分のサイトに「使っていない拡張機能」が眠っていないか、一度点検してみてはいかがでしょうか。
出典：
The Hacker News
NVD（CVE-2026-81648）
Photo: Markus Winkler / Unsplash
