ハッカーたちが、WordPress用miniOrange SAML 2.0シングルサインオンプラグインに存在する2件の重大な認証バイパス脆弱性の悪用を試みています。これらの脆弱性を突かれると、SAMLレスポンスを偽造され、管理者としてログインされてしまう恐れがあります。
miniOrange SAML SSOプラグインは、WordPressサイトをSAMLサービスプロバイダーとして機能させ、Microsoft Entra ID、Okta、Google Workspace、OneLoginといった企業向けIDプラットフォームを通じたログインを、個別のWordPress認証情報の代わりに利用できるようにするものです。
Xecurifyが開発したminiOrangeは7種類のプラグインからなるファミリー製品で、無料版は10,000件のダウンロードを、残る6つの有料版は合計で30,000件の顧客を抱えています。
今回悪用の試みが観測された2件の脆弱性はCVE-2026-61979とCVE-2026-15981として追跡されており、これらを組み合わせることで認証をバイパスできます。
miniOrange SAML SSOプラグインは、設定された署名アルゴリズムを強制的に適用するのではなく、受信したSAMLレスポンスに含まれる署名アルゴリズムをそのまま受け入れてしまいます。このためCVE-2026-61979を悪用する攻撃者は、HMAC-SHA1を選択させることが可能です。その結果、プラグインはID プロバイダー(IdP)のRSA公開鍵を共有シークレットとして扱ってしまいます。
公開鍵は誰でも知り得る情報であるため、攻撃者はプラグインが正規のものとして受け入れる署名を偽造できてしまいます。
2つ目のセキュリティ問題であるCVE-2026-15981は、OpenSSLの検証エラー(-1)を成功結果として扱ってしまう不具合で、これにより不正な形式の署名が検証を通過してしまいます。
セキュリティ企業Patchstackによると、これら2件の脆弱性は7月に公表され、修正パッチが提供されました。しかし、ベンダーのアドバイザリは無料版のみを対象としており、修正自体は提供されていたにもかかわらず、6つの有料版については注意喚起がなされていませんでした。
以下のバージョンで、この2つの脆弱性が修正されています。
- 無料版、シングルサイト – 5.4.5
- プレミアム版、シングルサイト – 13.0.4
- スタンダード版、シングルサイト – 17.06
- プレミアム/エンタープライズ/オールインクルーシブ版、マルチサイト – 20.2.8
- エンタープライズ/オールインクルーシブ版、シングルサイト – 26.0.3
- VIP版、シングルサイト – 32.0.8
- VIP版、マルチサイト – 35.0.7
すべてのバージョンにわたってリスクが開示されなかったことで、有料版を利用する多くのサイトが対応を取らずに放置してしまったとみられ、脅威アクターがこの2件の脆弱性を悪用する機会を生み出す結果となりました。
Patchstackの報告によると、8月16日にDigitalOceanが、信頼済みネットワーク外から発生した異常なWordPress管理者セッションをブロックしました。
調査の結果、攻撃者はバージョン16.1.9のスタンダード版プラグインを通じて、この2つの脆弱性を連鎖的に悪用し、管理者セッションクッキーを取得していたことが判明しました。
Patchstackのデータによると、悪用の試みと日和見的なスキャンが進行中であり、ヨーロッパ、アフリカ、米国にまたがる6つのIPアドレスから発信されています。
無料版を標的とした概念実証(PoC)エクスプロイトも一般に公開されており、今後いつ攻撃のペースが加速してもおかしくない状況です。
Patchstackは、WordPressの管理ダッシュボードでは有料版プラグインに対する更新警告が表示されないため、サイト運営者は手動でパッチ適用済みのリリースにアップグレードする必要があると警告しています。
