Tentativas de ataque têm como alvo sites WordPress que usam o plugin miniOrange SAML 2.0 Single Sign-On, explorando duas vulnerabilidades críticas que podem ser combinadas para contornar a autenticação e criar uma sessão de login com privilégios de administrador. A empresa Xecurify desenvolve o plugin miniOrange, que conecta o WordPress a plataformas de identidade corporativa, como Microsoft Entra ID, Okta, Google Workspace e OneLogin.
As duas vulnerabilidades estão registradas sob os números CVE-2026-61979 e CVE-2026-15981. Segundo informações atribuídas à empresa Patchstack, elas foram divulgadas publicamente e corrigidas em julho, enquanto tentativas de exploração e monitoramento oportunista começaram a surgir a partir de seis endereços IP distribuídos entre a Europa, a África e os Estados Unidos.
Como a autenticação pode ser contornada?
O plugin aceita o algoritmo de assinatura incluído na resposta SAML, em vez de impor o algoritmo configurado previamente. Ao explorar a CVE-2026-61979, o invasor pode escolher HMAC-SHA1, levando o plugin a tratar a chave pública RSA do provedor de identidade como um segredo compartilhado. Como a chave pública é conhecida, é possível falsificar uma assinatura que o plugin aceita como válida.
Já a CVE-2026-15981 está relacionada ao tratamento de um erro de validação emitido pelo OpenSSL; o código de erro -1 é interpretado como sucesso, permitindo a passagem de assinaturas malformadas. O uso conjunto das duas vulnerabilidades permite contornar a verificação de autenticação e obter um perfil de sessão de um administrador do WordPress.
Versões que incluem as correções
As versões corrigidas abrangem todas as edições do plugin, não apenas a versão gratuita:
- Free, para um site: 5.4.5
- Premium, para um site: 13.0.4
- Standard, para um site: 17.06
- Premium/Enterprise/All-Inclusive, para vários sites: 20.2.8
- Enterprise/All-Inclusive, para um site: 26.0.3
- VIP, para um site: 32.0.8
- VIP, para vários sites: 35.0.7
O que muda, na prática, para os proprietários de sites?
A Patchstack informou que, em 16 de agosto, a DigitalOcean bloqueou uma sessão incomum de administrador do WordPress proveniente de fora de sua rede confiável. A investigação mostrou que os invasores combinaram as duas vulnerabilidades para obter um perfil de sessão de administrador por meio da versão Standard 16.1.9.
O principal problema prático é que o painel de administração do WordPress não exibe, segundo o alerta, notificações de atualização para as edições pagas. Portanto, não basta esperar um alerta automático; os proprietários de sites devem verificar manualmente a versão do plugin e atualizá-lo para a versão correspondente acima. Além disso, a disponibilidade de uma ferramenta de prova de conceito voltada à versão gratuita pode aumentar o ritmo das tentativas, segundo a fonte.
Análise da certi.news
A importância do incidente não está apenas no número de usuários do plugin, mas no fato de que uma falha na camada de login único pode transformar uma identidade corporativa confiável em um ponto de entrada direto para o painel do WordPress. O caso também revela um efeito prático de uma lacuna na divulgação: restringir o alerta à versão gratuita, apesar da disponibilidade de correções para as edições pagas, deixou alguns sites sem um incentivo claro para a atualização. A fonte não determina quantos sites foram efetivamente comprometidos; ela comprova apenas a existência de tentativas de exploração e de pelo menos um caso documentado associado a uma versão Standard antiga.