Attaques WordPress : deux failles dans le plugin miniOrange SAML SSO permettent un accès administrateur

Un double contournement dans l’authentification SAML

Le 24 août 2026, il a été révélé que des acteurs malveillants tentent d’exploiter deux vulnérabilités critiques dans le plugin miniOrange SAML 2.0 Single Sign On pour WordPress. Les failles, identifiées comme CVE-2026-61979 et CVE-2026-15981, peuvent être enchaînées pour obtenir des privilèges d’administrateur sans disposer d’identifiants. Le plugin est développé par Xecurify et appartient à une famille de sept éditions : une gratuite avec environ 10 000 téléchargements et six payantes totalisant 30 000 clients.

Le plugin transforme WordPress en fournisseur de services SAML. Il permet aux utilisateurs de se connecter via des plateformes d’identité d’entreprise comme Microsoft Entra ID, Okta, Google Workspace ou OneLogin, au lieu d’utiliser des identifiants WordPress distincts. La faiblesse réside précisément dans la manière dont le plugin vérifie les réponses SAML entrantes.

Comment fonctionne l’attaque : HMAC-SHA1 et une erreur OpenSSL

CVE-2026-61979 concerne la gestion de l’algorithme de signature. Le plugin accepte l’algorithme indiqué dans la réponse SAML, au lieu d’imposer celui qui est configuré. Un attaquant peut sélectionner HMAC-SHA1, amenant le plugin à traiter la clé publique RSA du fournisseur d’identité comme un secret partagé. La clé publique étant connue, l’attaquant peut forger une signature valide. Cette faille a un score CVSS de 8,1.

CVE-2026-15981 provient d’un comportement défectueux dans la vérification cryptographique. Le plugin interprète une erreur OpenSSL, la valeur -1, comme un résultat positif. Une signature malformée passe ainsi la validation. Les bases de données sectorielles attribuent à cette vulnérabilité un score CVSS de 9,8, le maximum. En enchaînant les deux failles, un attaquant non authentifié peut contourner complètement l’authentification et obtenir des privilèges d’administrateur.

Les versions concernées et les correctifs

Les vulnérabilités ont été corrigées par des correctifs distribués en juillet. Les versions qui résolvent les problèmes, pour chaque édition, sont les suivantes :

Édition	Version corrigée
Free, site unique	5.4.5
Premium, site unique	13.0.4
Standard, site unique	17.06
Premium/Enterprise/All-Inclusive, multisite	20.2.8
Enterprise/All-Inclusive, site unique	26.0.3
VIP, site unique	32.0.8
VIP, multisite	35.0.7

L’avis officiel du fournisseur n’a concerné que l’édition gratuite. Les six éditions payantes n’ont reçu aucun avertissement, bien que les correctifs soient disponibles. Le tableau de bord d’administration WordPress n’affiche aucune notification de mise à jour pour les versions payantes. Les propriétaires doivent vérifier manuellement la version installée.

Pourquoi les clients payants sont plus exposés

Sans alertes automatiques, de nombreux sites utilisant des éditions payantes n’ont pas appliqué les mises à jour. Un attaquant qui exploite les deux failles prend le contrôle total du site : modifie le contenu, installe des logiciels malveillants, vole des données. La confiance dans le flux SSO est compromise. De plus, une preuve de concept publique pour l’édition gratuite est déjà disponible. Cela peut rapidement accroître l’intensité des attaques, car elle fournit une base à adapter aux autres versions.

L’activité d’exploitation en cours

Patchstack signale des tentatives d’exploitation et des analyses depuis six adresses IP réparties entre l’Europe, l’Afrique et les États-Unis. Le 16 août, DigitalOcean a bloqué une session d’administrateur WordPress anormale provenant de l’extérieur de son réseau de confiance. L’enquête a montré que les attaquants avaient enchaîné les deux failles pour obtenir un cookie de session administrateur, en exploitant la version Standard 16.1.9 du plugin.

Comment réduire le risque

Les utilisateurs du plugin miniOrange SAML 2.0 Single Sign On doivent immédiatement mettre à jour vers la version corrigée indiquée pour leur édition. Le tableau de bord WordPress n’alertant pas pour les éditions payantes, il est indispensable de vérifier manuellement la version installée. Il faut surveiller les journaux pour détecter des sessions administratives anormales, des accès depuis des IP inattendues ou des modifications non autorisées. L’utilisation d’un pare-feu applicatif web avec des règles spécifiques à ces CVE peut bloquer les tentatives d’exploitation. Si la mise à jour n’est pas possible dans l’immédiat, il est conseillé de désactiver temporairement le plugin SSO ou d’appliquer des contrôles supplémentaires sur l’authentification.

À l’heure actuelle, aucune information publique n’indique l’inscription des deux CVE dans le catalogue KEV de la CISA.