Hackers Exploit Critical miniOrange SAML SSO Flaws to Hijack WordPress Admin Accounts
2026/08/25 CyberSecurityNews — WordPress miniOrange SAML 2.0 Single Sign-On プラグインに存在する 2 件の深刻な脆弱性を悪用する未認証の攻撃者は、管理者を含む任意の既存ユーザーとして脆弱な WordPress サイトにログインする可能性がある。これらの脆弱性 CVE-2026-61979 (CVSS 9.8)／CVE-2026-15981 (CVSS 9.8) については、実環境での悪用の試みとの関連が確認されている。
miniOrange SAML SSO の脆弱性を攻撃者が悪用
外部の認証プロバイダーを介して WordPress サイトのユーザーを認証する、miniOrange の SAML ベースのシングル・サインオン・ソフトウェアに、これらの脆弱性が存在する。この脆弱性を悪用する攻撃者は、プラグインの SAML 署名検証に存在する弱点を利用して認証レスポンスを偽造し、正規の認証情報なしで WordPress の「/wp-admin」管理画面にアクセスできる。
脆弱性 CVE-2026-61979 は署名アルゴリズムの混同に関する欠陥であり、プラグインが受信した SAML レスポンスで指定された署名アルゴリズムを受け入れるため、攻撃者は想定されている RSA ベースの検証を HMAC-SHA-1 に切り替えることが可能になる。さらに、脆弱なコード・パスでは公開されている RSA 公開鍵が HMAC シークレットとして扱われる可能性があるため、攻撃者はこの公開鍵を利用して悪意のある SAML アサーションに署名し、プラグインに正当なものとして受け入れさせることが可能になる。
もう一つの脆弱性 CVE-2026-15981 は、「openssl_verify()」の戻り値が不適切に処理されることに起因する。この関数は、有効な署名の場合は「1」を、無効な署名の場合には「0」、OpenSSL の内部エラーの場合には「-1」を返す。しかし、このプラグインでは戻り値を単純な Boolean 値として処理しており、PHP では「-1」が true と評価されるため、OpenSSL エラーを発生させる不正な形式の署名も有効な署名として受け入れられる可能性がある。
DigitalOcean のセキュリティ・チームは、信頼されたネットワークを発信元とする不審な WordPress 管理者セッションのアクティビティを検出してブロックした。その後、調査担当者は miniOrange Standard edition 16.1.9 で両方のバイパスを再現し、問題の原因をプラグインの SAML 検証ロジックと同梱されている XML セキュリティ・ライブラリに特定した。
このインシデントでは、WordPress 管理者が脆弱性の影響を把握しにくい重大な問題があることも Patchstack により明らかにされた。miniOrange は、同一の「miniorange-saml-20-single-sign-on」プラグイン・スラッグで、それぞれ異なるバージョン体系を持つ 7 種類の製品版を配布している。
当初、公開されていた脆弱性情報の対象は無料版のみで、有料版は公開アドバイザリや脆弱性データベースに掲載されていなかった。そのため、多くの有料版を使用している環境では、脆弱なリリースが実行されているにもかかわらず、完全に修正済みであるように見える可能性があった。
miniOrange の Standard edition では、バージョン 17.0.5 で CVE-2026-61979 が、バージョン 17.0.6 で CVE-2026-15981 が修正されている。ただし、影響を受ける 16.x を使用している環境では、WordPress ダッシュボードを通じたアップデート通知を受信できない可能性があるため、管理者は修正済みのプラグイン・パッケージを手動でアップロードし、修正済みの 17.x リリース系列へ移行する必要がある。
セキュリティ・チームは、使用している正確な miniOrange 製品版を特定し、ベンダーが提供する修正済みリリースへアップグレードされていることを確認する必要がある。それに加えて、WordPress／Web サーバー／アイデンティティのログを確認し、異常または信頼されていない IP アドレスからの管理者セッションの有無を調査すべきである。
DigitalOcean は、複数のクラウド／ホスティング／VPN／モバイル・ネットワークのアドレスからスキャンの試みを観測している。それが示唆するのは、限定された標的を狙ったキャンペーンではなく、無差別に行われる機会的な攻撃であることだ。
これらの脆弱性が示すのは、プラグインのバージョンを追跡する際に、共有される WordPress.org の掲載情報だけでなく、個別の商用製品版も考慮する必要があることだ。また、公開アドバイザリや明確な更新手順を提供せずに、ベンダーが有料版へパッチを適用した場合に、脆弱性スキャナー／ダッシュボード／管理者が、実際には脆弱な環境を安全であると誤認する可能性があることも判明した。
WordPress miniOrange SAML SSO プラグインにおける、SAML 署名検証の不備を解説する記事です。署名アルゴリズム混同 CVE-2026-61979 や関数戻り値の不適切な型比較 CVE-2026-15981 が背景として存在します。その結果として、認証レスポンス偽造による未認可ログイン／管理者権限の奪取／不正アクセスといった深刻な影響が懸念されます。共有プラグイン・スラッグの仕様上、利用中の製品版で安全更新通知が届かないリスクもあります。影響を受ける最新ビルドへ手動で更新を適用する対応やアクセスログの入念な監視が求められます。
IoT OT Security News 
You must be logged in to post a comment.