miniOrange SAML 2.0 Single Sign-Onプラグインを使用するWordPressサイトを標的とした攻撃試行が確認されており、2件の重大な脆弱性を組み合わせて認証を回避し、管理者権限を持つログインセッションを作成している。miniOrangeプラグインはXecurifyが開発しており、WordPressをMicrosoft Entra ID、Okta、Google Workspace、OneLoginなどの企業向けIDプラットフォームに接続する。
2件の脆弱性には、CVE-2026-61979とCVE-2026-15981という番号が付与されている。Patchstackの情報によると、これらは公に開示され、7月に修正された。一方、欧州、アフリカ、米国に分散する6つのIPアドレスから、悪用試行および日和見的なスキャンが現れ始めた。
認証はどのように回避されるのか？
このプラグインは、あらかじめ指定されたアルゴリズムを強制せず、SAML応答に含まれる署名アルゴリズムを受け入れる。CVE-2026-61979を悪用すると、攻撃者はHMAC-SHA1を選択できる。これにより、プラグインはIDプロバイダーのRSA公開鍵を共有秘密として扱う。公開鍵は既知であるため、プラグインが正しいものとして受け入れる署名を偽造できる。
CVE-2026-15981は、OpenSSLから返される検証エラーの処理に関係する。エラーコード-1が成功として解釈されるため、壊れた署名が通過する可能性がある。両方の脆弱性を組み合わせることで、認証チェックを回避し、WordPress管理者のセッションプロファイルを取得できる。
修正を含むバージョン
修正版は無料版だけでなく、すべてのプラグインカテゴリに含まれている。
- Free、1サイト向け：5.4.5
- Premium、1サイト向け：13.0.4
- Standard、1サイト向け：17.06
- Premium/Enterprise/All-Inclusive、マルチサイト向け：20.2.8
- Enterprise/All-Inclusive、1サイト向け：26.0.3
- VIP、1サイト向け：32.0.8
- VIP、マルチサイト向け：35.0.7
サイト所有者にとって実際に何が変わるのか？
Patchstackによると、DigitalOceanは8月16日、信頼済みネットワーク外から発信されたWordPress管理者の異常なセッションをブロックした。調査の結果、攻撃者は2件の脆弱性を組み合わせ、Standardバージョン16.1.9を通じて管理者セッションプロファイルを取得していた。
実務上の最大の問題は、この警告によれば、WordPressの管理画面が有料版のバージョンに対して更新通知を表示しないことだ。そのため、自動通知を待つだけでは不十分であり、サイト所有者はプラグインのバージョンを手動で確認し、上記の適切なバージョンへアップグレードする必要がある。また、無料版を標的とする概念実証ツールが利用可能になったことで、情報源によれば試行の頻度が高まる可能性がある。
certi.newsの見解
この事件の重要性は、プラグインの利用者数だけにあるのではない。シングルサインオン層の不備が、信頼された企業IDをWordPressの管理画面への直接的な侵入口に変え得る点にある。この事例は、情報公開の隙間がもたらす実務上の影響も示している。すなわち、有料版にも修正が提供されていたにもかかわらず、警告が無料版に限られていたため、一部のサイトには更新する明確な動機がなかった。情報源は、実際に侵害されたサイト数を特定しておらず、Standardの旧バージョンに関連する、悪用試行の存在と少なくとも1件の記録済み事例を確認しているにとどまる。