Site-urile WordPress care folosesc pluginul miniOrange SAML 2.0 Single Sign On sunt vizate de tentative de exploatare a două vulnerabilități critice de tip authentication bypass, potrivit BleepingComputer și firmei de securitate Patchstack. Problemele, urmărite ca CVE-2026-61979 și CVE-2026-15981, pot fi combinate pentru a ocoli autentificarea și pentru a obține acces de administrator.
Ce se întâmplă
Pluginul miniOrange SAML SSO transformă un site WordPress într-un furnizor de servicii compatibil SAML, permițând autentificarea prin platforme de identitate corporative precum Microsoft Entra ID, Okta, Google Workspace sau OneLogin, în locul unor credențiale WordPress separate. Produsul este dezvoltat de Xecurify și face parte dintr-o familie de șapte pluginuri miniOrange.
Cum funcționează atacul
Prima vulnerabilitate, CVE-2026-61979, apare deoarece pluginul acceptă algoritmul de semnătură din răspunsurile SAML primite, în loc să îl impună pe cel configurat. În scenariul descris de cercetători, un atacator poate forța folosirea HMAC-SHA1, ceea ce face ca cheia publică RSA a furnizorului de identitate să fie tratată ca secret partajat. Cum cheia publică este cunoscută, semnătura poate fi falsificată și acceptată de plugin ca fiind validă.
A doua problemă, CVE-2026-15981, face ca o eroare de verificare OpenSSL (-1) să fie tratată ca rezultat reușit. În practică, acest lucru permite trecerea unor semnături nevalide prin etapa de validare. Potrivit Patchstack, cele două defecte pot fi legate între ele pentru a obține un cookie de sesiune de administrator.
De ce contează
Riscul este semnificativ pentru site-urile care se bazează pe autentificarea SSO prin miniOrange, deoarece un atac reușit poate oferi acces la panoul de administrare WordPress. Odată ajunși în conturi valide, atacatorii pot acționa cu drepturi extinse, iar apărarea tradițională devine mai puțin eficientă.
Patchstack a raportat că, pe 16 august, DigitalOcean a blocat o sesiune anormală de administrator WordPress provenită din afara rețelei sale de încredere. Investigația a indicat că atacatorii au folosit cele două vulnerabilități împreună pentru a obține o sesiune de administrator prin ediția Standard a pluginului, în versiunea 16.1.9.
Ce spun datele despre exploatare
Potrivit Patchstack, tentativele de exploatare și scanările oportuniste sunt deja în desfășurare. Activitatea a fost observată de pe șase adrese IP din Europa, Africa și Statele Unite. În plus, există deja un proof-of-concept public pentru ediția gratuită, ceea ce poate accelera ritmul atacurilor.
Compania de securitate mai arată că vulnerabilitățile au fost divulgate public și remediate în iulie, însă avertismentul furnizorului a vizat doar ediția gratuită. Potrivit Patchstack, cele șase ediții plătite au primit și ele corecții, dar fără un anunț clar, ceea ce ar fi lăsat multe site-uri fără reacție la timp.
Versiunile corectate
Patchstack indică următoarele versiuni care rezolvă cele două probleme:
- Free, single site – 5.4.5
- Premium, single site – 13.0.4
- Standard, single site – 17.06
- Premium/Enterprise/All-Inclusive, multisite – 20.2.8
- Enterprise/All-Inclusive, single site – 26.0.3
- VIP, single site – 32.0.8
- VIP, multisite – 35.0.7
Patchstack avertizează că panoul de administrare WordPress nu va afișa neapărat avertismente de actualizare pentru versiunile plătite ale pluginului, astfel încât administratorii trebuie să verifice manual dacă folosesc o versiune corectată.
Ce urmează pentru administratorii de site-uri
În lipsa unei actualizări la o versiune remediată, site-urile care folosesc miniOrange SAML SSO pot rămâne expuse la tentative de autentificare frauduloasă. În contextul în care există deja un exploit public pentru ediția gratuită și scanări active în rețea, fereastra de risc poate rămâne deschisă până la aplicarea corecțiilor.
Mesajul practic pentru administratorii WordPress este simplu: verificarea manuală a versiunii instalate și actualizarea la una dintre versiunile corectate sunt esențiale, mai ales pentru edițiile plătite, unde alertele automate pot lipsi.