WordPressサイト、MiniOrangeプラグインの脆弱性を突かれ標的に

脅威アクターが、MiniOrangeプラグインに影響する最近パッチが適用された2件の脆弱性を悪用し、WordPressサイトへのハッキングを試みています。

問題となっている2件の脆弱性はCVE-2026-61979とCVE-2026-15981で、WordPressサイトにSSO機能を提供するMiniOrange SAML 2.0シングルサインオン（SSO）プラグインに影響します。

このプラグインの無料版は10,000件を超えるWordPressサイトに導入されていますが、有料版・エンタープライズ版も複数存在しており、それらの利用状況に関する統計は公開されていません。

DigitalOceanとセキュリティ企業Patchstackが実施した分析によると、これらの脆弱性は深刻な認証バイパスであり、管理者を含む任意のWordPressユーザーとしてログインするために悪用される可能性があるとのことです。

脅威アクターはCVE-2026-61979とCVE-2026-15981の悪用を試みていますが、Patchstackはこれを標的を絞ったキャンペーンではなく、日和見的な攻撃だと説明しています。

問題は、MiniOrange SAML 2.0 SSOプラグインの影響を受けるすべてのバージョンにパッチが適用されている一方で、開発元がユーザーに潜在的なリスクについて警告していない点です。無料版に限っては、バージョン5.4.5での修正に言及するアドバイザリが存在するものの、セキュリティパッチとしてではなく単なるバグ修正として扱われています。

有料版の場合、ユーザーには通知が行われておらず、バージョン管理体系も異なるため、あるサイトにパッチが適用済みかどうかを判断するのは困難です。ユーザーは手動でプラグインを更新する必要があります。

「この攻撃を仕掛けている者は、どの版やバージョンが動いているかを確認することなく、プラグインがインストールされているすべてのサイトにエクスプロイトを浴びせているようです」とPatchstackは警告しています。「これはまさに、サイレントパッチという状況を危険なものにしている典型的な振る舞いです。攻撃者は自分がどの版を狙っているかを知る必要はありません。知らなければならないのはあなたの方なのです」

SecurityWeekは開発元にコメントを求めており、回答があり次第この記事を更新します。