Des tentatives d’attaque ciblent des sites WordPress utilisant l’extension miniOrange SAML 2.0 Single Sign-On, en exploitant deux vulnérabilités critiques qui peuvent être combinées pour contourner l’authentification et créer une session de connexion dotée de privilèges administrateur. La société Xecurify développe l’extension miniOrange, qui relie WordPress à des plateformes d’identité d’entreprise telles que Microsoft Entra ID, Okta, Google Workspace et OneLogin.
Les deux vulnérabilités sont enregistrées sous les identifiants CVE-2026-61979 et CVE-2026-15981. Selon les informations attribuées à la société Patchstack, elles ont été divulguées publiquement et corrigées en juillet, tandis que des tentatives d’exploitation et une activité opportuniste de surveillance ont commencé à apparaître depuis six adresses IP réparties entre l’Europe, l’Afrique et les États-Unis.
Comment l’authentification peut-elle être contournée ?
L’extension accepte l’algorithme de signature fourni dans la réponse SAML au lieu d’imposer l’algorithme configuré au préalable. En exploitant CVE-2026-61979, l’attaquant peut choisir HMAC-SHA1, ce qui pousse l’extension à traiter la clé publique RSA du fournisseur d’identité comme un secret partagé. Comme la clé publique est connue, il est possible de falsifier une signature que l’extension acceptera comme valide.
CVE-2026-15981 concerne quant à elle le traitement d’une erreur de vérification renvoyée par OpenSSL : le code d’erreur -1 est interprété comme un succès, ce qui permet à des signatures malformées de passer. L’utilisation conjointe des deux vulnérabilités permet de contourner le contrôle d’authentification et d’obtenir un profil de session d’administrateur WordPress.
Versions intégrant les correctifs
Les versions corrigées couvrent toutes les éditions de l’extension, et pas uniquement la version gratuite :
- Free, pour un seul site : 5.4.5
- Premium, pour un seul site : 13.0.4
- Standard, pour un seul site : 17.06
- Premium/Enterprise/All-Inclusive, multisite : 20.2.8
- Enterprise/All-Inclusive, pour un seul site : 26.0.3
- VIP, pour un seul site : 32.0.8
- VIP, multisite : 35.0.7
Qu’est-ce qui change concrètement pour les propriétaires de sites ?
Patchstack a indiqué que DigitalOcean avait bloqué le 16 août une session inhabituelle d’administrateur WordPress provenant de l’extérieur de son réseau de confiance. L’enquête a montré que les attaquants avaient combiné les deux vulnérabilités pour obtenir un fichier de session administrateur via la version Standard 16.1.9.
Le principal problème pratique est que le tableau de bord d’administration WordPress n’affiche pas, selon l’avertissement, de notifications de mise à jour pour les éditions payantes. Il ne suffit donc pas d’attendre une alerte automatique : les propriétaires de sites doivent vérifier manuellement la version de l’extension et la mettre à niveau vers la version appropriée indiquée ci-dessus. En outre, la disponibilité d’un outil de preuve de concept ciblant la version gratuite pourrait accroître la fréquence des tentatives, selon la source.
Analyse de certi.news
L’importance de l’incident ne réside pas uniquement dans le nombre d’utilisateurs de l’extension, mais aussi dans le fait qu’une faille au sein de la couche d’authentification unique peut transformer une identité d’entreprise fiable en point d’entrée direct vers le tableau de bord WordPress. L’incident révèle également une conséquence pratique d’une lacune dans la divulgation : le fait de limiter l’alerte à la version gratuite, alors que des correctifs étaient disponibles pour les éditions payantes, a laissé certains sites sans incitation claire à effectuer la mise à jour. La source ne précise toutefois pas le nombre de sites effectivement compromis, mais elle confirme l’existence de tentatives d’exploitation et d’au moins un cas documenté lié à une ancienne version Standard.