Angriffsversuche zielen auf WordPress-Websites ab, die das Plugin miniOrange SAML 2.0 Single Sign-On verwenden. Dabei werden zwei kritische Schwachstellen ausgenutzt, die kombiniert werden können, um die Authentifizierung zu umgehen und eine Anmeldesitzung mit Administratorrechten zu erstellen. Das Unternehmen Xecurify entwickelt das miniOrange-Plugin, das WordPress mit Unternehmensidentitätsplattformen wie Microsoft Entra ID, Okta, Google Workspace und OneLogin verbindet.
Die beiden Schwachstellen sind unter den Nummern CVE-2026-61979 und CVE-2026-15981 registriert. Nach Angaben, die dem Unternehmen Patchstack zugeschrieben werden, wurden sie öffentlich bekannt und im Juli behoben, während Ausnutzungsversuche und opportunistische Scans von sechs IP-Adressen aus Europa, Afrika und den Vereinigten Staaten ausgingen.
Wie lässt sich die Authentifizierung umgehen?
Das Plugin akzeptiert den in der SAML-Antwort enthaltenen Signaturalgorithmus, anstatt den zuvor festgelegten Algorithmus zu erzwingen. Durch Ausnutzung von CVE-2026-61979 kann der Angreifer HMAC-SHA1 auswählen, wodurch das Plugin den öffentlichen RSA-Schlüssel des Identitätsanbieters als gemeinsames Geheimnis behandelt. Da der öffentliche Schlüssel bekannt ist, kann eine Signatur gefälscht werden, die das Plugin als gültig akzeptiert.
CVE-2026-15981 betrifft dagegen den Umgang mit einem von OpenSSL ausgegebenen Validierungsfehler. Dabei wird der Fehlercode -1 als Erfolg interpretiert, wodurch fehlerhafte Signaturen akzeptiert werden können. Der Einsatz beider Schwachstellen zusammen ermöglicht die Umgehung der Authentifizierungsprüfung und den Erhalt eines Sitzungsprofils für einen WordPress-Administrator.
Versionen mit den Korrekturen
Die korrigierten Versionen umfassen alle Plugin-Kategorien, nicht nur die kostenlose Version:
- Free, für eine Website: 5.4.5
- Premium, für eine Website: 13.0.4
- Standard, für eine Website: 17.06
- Premium/Enterprise/All-Inclusive, für mehrere Websites: 20.2.8
- Enterprise/All-Inclusive, für eine Website: 26.0.3
- VIP, für eine Website: 32.0.8
- VIP, für mehrere Websites: 35.0.7
Was ändert sich praktisch für Websitebetreiber?
Patchstack zufolge blockierte DigitalOcean am 16. August eine ungewöhnliche Sitzung eines WordPress-Administrators, die außerhalb seines vertrauenswürdigen Netzwerks stammte. Die Untersuchung ergab, dass die Angreifer beide Schwachstellen kombinierten, um über die Standard-Version 16.1.9 ein Administratorsitzungsprofil zu erhalten.
Das größte praktische Problem besteht darin, dass das WordPress-Administrationspanel laut der Warnung für kostenpflichtige Versionen keine Update-Benachrichtigungen anzeigt. Daher reicht es nicht aus, auf eine automatische Benachrichtigung zu warten; Websitebetreiber sollten die Plugin-Version manuell überprüfen und auf die entsprechende oben genannte Version aktualisieren. Außerdem könnte die Verfügbarkeit eines Proof-of-Concept-Tools, das auf die kostenlose Version abzielt, laut der Quelle die Zahl der Versuche erhöhen.
Einordnung von certi.news
Die Bedeutung des Vorfalls liegt nicht allein in der Zahl der Plugin-Nutzer, sondern darin, dass ein Fehler in der Single-Sign-On-Schicht eine vertrauenswürdige Unternehmensidentität in einen direkten Zugang zum WordPress-Administrationsbereich verwandeln kann. Der Vorfall zeigt außerdem eine praktische Auswirkung der Offenlegungslücke: Die Beschränkung der Warnung auf die kostenlose Version ließ einige Websites ohne klaren Anstoß zur Aktualisierung, obwohl Korrekturen für die kostenpflichtigen Versionen verfügbar waren. Die Quelle nennt weiterhin keine Zahl der tatsächlich kompromittierten Websites, sondern belegt lediglich das Vorhandensein von Ausnutzungsversuchen und mindestens einen dokumentierten Fall, der mit einer veralteten Standard-Version in Verbindung steht.