WordPress-Angriffe: Zwei Schwachstellen im miniOrange SAML SSO-Plugin ermöglichen Administratorzugriff

Ein doppelter Bypass bei der SAML-Authentifizierung

Am 24. August 2026 wurde bekannt, dass Angreifer versuchen, zwei kritische Schwachstellen im miniOrange SAML 2.0 Single Sign On-Plugin für WordPress auszunutzen. Die als CVE-2026-61979 und CVE-2026-15981 identifizierten Sicherheitslücken lassen sich verketten, um ohne Zugangsdaten Administratorrechte zu erlangen. Das Plugin wird von Xecurify entwickelt und umfasst sieben Editionen: eine kostenlose mit rund 10.000 Downloads und sechs kostenpflichtige mit insgesamt 30.000 Kunden.

Das Plugin verwandelt WordPress in einen SAML Service Provider. Es ermöglicht Benutzern die Anmeldung über Unternehmens-Identitätsplattformen wie Microsoft Entra ID, Okta, Google Workspace oder OneLogin, anstatt separate WordPress-Zugangsdaten zu verwenden. Die Schwäche liegt genau in der Art und Weise, wie das Plugin eingehende SAML-Antworten überprüft.

Wie der Angriff funktioniert: HMAC-SHA1 und ein OpenSSL-Fehler

CVE-2026-61979 betrifft die Handhabung des Signaturalgorithmus. Das Plugin akzeptiert den in der SAML-Antwort angegebenen Algorithmus, anstatt den konfigurierten durchzusetzen. Ein Angreifer kann HMAC-SHA1 auswählen und damit das Plugin dazu verleiten, den öffentlichen RSA-Schlüssel des Identity Providers als gemeinsames Geheimnis zu behandeln. Da der öffentliche Schlüssel bekannt ist, kann der Angreifer eine gültige Signatur fälschen. Dieser Fehler hat einen CVSS-Wert von 8,1.

CVE-2026-15981 entsteht aus einem fehlerhaften Verhalten bei der kryptografischen Überprüfung. Das Plugin interpretiert einen OpenSSL-Fehler, den Wert -1, als erfolgreiches Ergebnis. Eine fehlerhaft formatierte Signatur besteht so die Validierung. Branchendatenbanken vergeben für diese Schwachstelle einen CVSS-Wert von 9,8, den höchsten Wert. Durch die Verkettung beider Schwachstellen kann ein nicht authentifizierter Angreifer die Authentifizierung vollständig umgehen und Administratorrechte erlangen.

Betroffene Versionen und Patches

Die Schwachstellen wurden mit im Juli verteilten Patches behoben. Die Versionen, die die Probleme beheben, sind für jede Edition wie folgt:

Edition	Bereinigte Version
Free, Single-Site	5.4.5
Premium, Single-Site	13.0.4
Standard, Single-Site	17.06
Premium/Enterprise/All-Inclusive, Multisite	20.2.8
Enterprise/All-Inclusive, Single-Site	26.0.3
VIP, Single-Site	32.0.8
VIP, Multisite	35.0.7

Der offizielle Sicherheitshinweis des Anbieters betraf nur die kostenlose Edition. Die sechs kostenpflichtigen Editionen erhielten trotz verfügbarer Patches keine Benachrichtigung. Das WordPress-Administrations-Dashboard zeigt für kostenpflichtige Versionen keine Update-Hinweise an. Die Betreiber müssen die installierte Version manuell überprüfen.

Warum zahlende Kunden stärker gefährdet sind

Ohne automatische Warnungen haben viele Websites mit kostenpflichtigen Editionen die Updates nicht eingespielt. Ein Angreifer, der die beiden Schwachstellen ausnutzt, übernimmt die vollständige Kontrolle über die Website: Er verändert Inhalte, installiert Malware und stiehlt Daten. Das Vertrauen in den SSO-Ablauf wird untergraben. Zudem ist bereits ein öffentlicher Proof-of-Concept für die kostenlose Edition verfügbar. Dies kann die Angriffsintensität rasch erhöhen, da es eine Grundlage bietet, die auf andere Versionen übertragbar ist.

Laufende Ausnutzungsaktivität

Patchstack meldet Ausnutzungsversuche und Scans von sechs IP-Adressen, verteilt über Europa, Afrika und die USA. Am 16. August blockierte DigitalOcean eine anomale WordPress-Administrator-Sitzung, die von außerhalb seines vertrauenswürdigen Netzwerks stammte. Die Untersuchung zeigte, dass die Angreifer die beiden Schwachstellen verkettet hatten, um ein Administrator-Sitzungscookie zu erlangen, wobei sie die Standard-Version 16.1.9 des Plugins ausnutzten.

Maßnahmen zur Risikominderung

Wer das miniOrange SAML 2.0 Single Sign On-Plugin verwendet, muss sofort auf die für die jeweilige Edition angegebene bereinigte Version aktualisieren. Da das WordPress-Dashboard für kostenpflichtige Editionen keine Warnung anzeigt, ist die manuelle Überprüfung der installierten Version unerlässlich. Die Protokolle sollten auf anomale Administrator-Sitzungen, Zugriffe von unerwarteten IP-Adressen oder unbefugte Änderungen überwacht werden. Der Einsatz einer Web Application Firewall mit spezifischen Regeln für diese CVEs kann Ausnutzungsversuche blockieren. Falls ein Update nicht sofort möglich ist, sollte das SSO-Plugin vorübergehend deaktiviert oder zusätzliche Authentifizierungskontrollen implementiert werden.

Derzeit liegen keine öffentlichen Hinweise auf eine Aufnahme der beiden CVEs in den KEV-Katalog der CISA vor.