miniOrange製のSAML 2.0シングルサインオンWordPressプラグインに2件の重大な脆弱性が見つかりました。未認証の攻撃者がSAMLアサーションを偽造し、管理者を含む既存の任意のアカウントとして/wp-adminにアクセスできる恐れがあります。
これらの脆弱性はCVE-2026-61979およびCVE-2026-15981として追跡されており、CVSSスコアは9.8です。報道によれば、すでに日和見的なスキャン活動の標的になっているとのことです。
DigitalOceanのセキュリティチームは、自社インフラ上で異常なWordPress管理者セッションの試行を検知してブロックし、その後miniOrangeのStandard版バージョン16.1.9で両方のバイパス手法を再現しました。
Patchstackはベンダーとのフォローアップを調整するとともに、このプラグインの配布モデルが有償版全体にわたる影響範囲を見えにくくしていたことを発見し、脆弱性データベースの対象範囲を拡張しました。
CVE-2026-61979は、署名アルゴリズムの混同に起因します。このプラグインは、受信したSAMLレスポンスが署名方式としてHMAC-SHA1を選択できるようにしていたにもかかわらず、信頼済みのRSA公開鍵PEMをHMACの秘密鍵として扱ってしまっていました。
IdP(アイデンティティプロバイダー)の公開鍵は誰でも入手できるため、攻撃者はこの脆弱なプラグインが正当なものとして受け入れてしまう偽造アサーションを生成できます。miniOrangeはStandard版バージョン17.0.5でこの問題を修正しました。
CVE-2026-15981は、openssl_verify()の戻り値を適切に処理していないことに起因します。この関数は、署名が有効な場合は1を、無効な場合は0を、OpenSSLエラーが発生した場合は-1を返します。
このプラグインは緩い(厳密でない)真偽値判定を使用していたため、PHPは-1をtrue(真)として解釈してしまい、OpenSSLエラーを引き起こす不正な形式の署名が検証を通過してしまう可能性がありました。Standard版バージョン17.0.6でこの欠陥に対処しています。
今回の核心的な問題は、miniOrangeが単一のWordPressスラッグminiorange-saml-20-single-sign-onのもとで、独立してバージョン管理された7種類のエディションを配布している点にあります。当初の公開勧告は、無料でダウンロードできるエディション(バージョン5.4.5で修正済み)のみを対象としていました。
有償エディションでは13.x、16.x、20.x、26.x、32.x、35.xといった、まったく異なるバージョン体系が使われていたため、一般的な脆弱性データベースやスキャナーは、実際には脆弱な状態のインストールを誤って「修正済み」と判定してしまっていました。
たとえば、バージョン16.1.9で稼働しているStandardエディションの導入環境は、無料版の修正済みリリース番号とだけ比較した場合、影響を受けていないように見えてしまう可能性があります。
管理者はWordPressダッシュボードだけに頼るべきではありません。Patchstackの報告によると、脆弱なStandard 16.x系のインストール環境では、修正済みの17.x系リリースへの自動更新通知が届かない場合があり、その場合は手動でプラグインをアップロードする必要があります。
各組織は、自社が使用しているminiOrangeの正確なエディションを特定し、ベンダー提供の修正済みバージョンにアップグレードするとともに、管理者の認証ログを確認し、特に信頼できるネットワーク範囲外から発生した予期しないセッションについて調査する必要があります。
DigitalOceanは、複数のVPN、ホスティング、クラウド、モバイルネットワークのIPアドレスからのスキャン活動を観測しており、これは特定の標的を絞った攻撃キャンペーンというよりも、広範かつ日和見的な悪用の試みであることを示唆しています。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。ANY.RUNで調査を強化
翻訳元: https://cyberpress.org/critical-wordpress-saml-sso-flaws/
