miniOrangeのSAML 2.0シングルサインオンWordPressプラグインに2件の重大な脆弱性が確認されました。これにより、未認証の攻撃者がSAMLアサーションを偽造し、サイト管理者を含む既存の任意のユーザーとしてログインできる恐れがあります。
これらの脆弱性はCVE-2026-61979およびCVE-2026-15981として追跡されており、CVSSスコアは9.8です。
DigitalOceanのセキュリティチームが実施した調査は、後にPatchstackとともに公表され、その影響が公開文書化されていた無料プラグイン版だけでなく、バージョン管理が別々になっている6種の商用エディションにも及んでいることを明らかにしました。
認証バイパスの脆弱性
1つ目の問題であるCVE-2026-61979は、署名アルゴリズムの混同に関する脆弱性です。このプラグインでは、SAMLレスポンス側がHMAC-SHA1を含む署名アルゴリズムを自ら指定できる仕様になっていました。
この仕様により、プラグインがIDプロバイダーの公開されているRSA鍵を誤ってHMACのシークレットとして扱ってしまう危険な状況が生まれていました。
攻撃者はIDプロバイダーのメタデータエンドポイントからこの公開鍵を取得し、悪意のあるSAMLアサーションを作成した上で、その公開鍵を使ってHMAC-SHA1で署名すれば、プラグインにそのアサーションを正当なものとして受け入れさせることができました。
この欠陥はSAML署名の検証ロジックに影響しており、悪用されればWordPressサイトの管理者権限を丸ごと奪われる可能性がありました。
2つ目の脆弱性であるCVE-2026-15981は、`openssl_verify()`の戻り値の扱いが不適切であることに起因しています。OpenSSLは署名が有効な場合は1を、無効な場合は0を、内部エラーが発生した場合は-1を返します。
Vulnerabilityscanning service
ところが、このプラグインは結果をブール値として誤って判定しており、PHP上では-1がtrueと解釈されてしまいます。その結果、OpenSSLでエラーを引き起こすような不正な形式の署名までもが、有効なものとして受け入れられる可能性がありました。
DigitalOceanは、miniOrangeのStandardエディションバージョン16.1.9において両方の問題を確認しました。ベンダーはCVE-2026-61979をStandardバージョン17.0.5で、CVE-2026-15981をバージョン17.0.6でそれぞれ修正しています。
今回の対応をさらに複雑にしているのが、miniOrangeが同一のWordPress.orgプラグインスラッグ(miniorange-saml-20-single-sign-on)のもとで、独立してバージョン管理された7種のエディションを配布しているという事情です。
当初の公開アドバイザリは無料でダウンロード可能なエディションのみを対象としており、こちらはバージョン5.4.5で修正されました。しかし有料エディションはまったく別のバージョン系統をたどっており、例えばStandardエディションはバージョン15.x系から17.x系にまたがる一方、VIPエディションは32.x系および35.x系に対応しています。
この構造のため、脆弱性スキャナーやデータベースの多くが、有料版の導入環境を誤って「パッチ適用済み」と分類してしまう事態が発生しました。バージョン16.1.9で稼働しているStandard環境を、バージョン5.4.5で修正済みとされる公開アドバイザリと照合したスキャナーは、実際には脆弱性が残っているにもかかわらず、番号が大きい方のリリースだから安全だと誤って結論づけてしまうことになります。
その後、Patchstackとminiorangeは全エディションにわたる影響範囲のバージョンをマッピングしました。修正済みリリースには、Premium 13.0.4、Standard 17.0.6、マルチサイト版のPremium/Enterprise/All-Inclusive 20.2.8、Enterprise/All-Inclusive 26.0.3、VIPシングルサイト版32.0.8、VIPマルチサイト版35.0.7が含まれます。
DigitalOceanは、自社環境内でこのプラグインを標的とした不審な活動を検知し、ブロックしました。研究者によると、攻撃者はこの認証バイパスを通じてWordPress管理者のセッションクッキーを取得したとみられるものの、管理パネルへのアクセスが信頼済みネットワークに限定されていたため、管理者権限での操作は行えなかったということです。
観測されたスキャン活動は、ベルギー、ナイジェリア、ドイツ、米国にあるインフラから発信されており、標的を絞った攻撃キャンペーンというよりは、日和見的な悪用の試みであることをうかがわせます。さらに、無料エディションを狙った概念実証(PoC)コードも公開されているとの報告があります。
管理者はまず自身が使用しているminiOrangeのエディションを特定し、該当する修正済みリリースへ手動でアップグレードする必要があります。なお、影響を受けた環境の一部ではバージョン系統をまたぐ移行の際にプラグインの手動アップロードが必要になる場合があるため、WordPressのダッシュボードに更新が表示されないケースもある点に注意が必要です。
直ちにパッチを適用できない組織は、`/wp-admin`へのアクセスを制限し、SAMLおよび認証関連のログを確認するとともに、想定外のIPアドレスから発生している管理者セッションがないか調査することが推奨されます。
今回の事案は、より広範なサプライチェーン上の課題も浮き彫りにしています。ベンダー側のバージョン情報が不完全であると、脆弱性データベースや自動スキャナー、更新の仕組みが重大なリスクを正確に把握できなくなってしまうのです。
調査の遅れによるインシデントを防ぎましょう。15,000のSOCが活用する脅威インテリジェンスで、Tier 1の対応力を強化できます: TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/critical-miniorange-saml-sso-flaws/
