Attacchi a WordPress: due falle nel plugin miniOrange SAML SSO consentono accesso amministratore

Un doppio bypass nell'autenticazione SAML

Il 24 agosto 2026 è stato reso noto che attori malevoli stanno tentando di sfruttare due vulnerabilità critiche nel plugin miniOrange SAML 2.0 Single Sign On per WordPress. Le falle, identificate come CVE-2026-61979 e CVE-2026-15981, possono essere concatenate per ottenere privilegi di amministratore senza disporre di credenziali. Il plugin è sviluppato da Xecurify e appartiene a una famiglia di sette edizioni: una gratuita con circa 10.000 download e sei a pagamento con complessivamente 30.000 clienti.

Il plugin trasforma WordPress in un Service Provider SAML. Consente agli utenti di accedere tramite piattaforme di identità aziendali come Microsoft Entra ID, Okta, Google Workspace o OneLogin, invece di usare credenziali WordPress separate. La debolezza sta proprio nel modo in cui il plugin verifica le risposte SAML in ingresso.

Come funziona l'attacco: HMAC-SHA1 e un errore OpenSSL

CVE-2026-61979 riguarda la gestione dell'algoritmo di firma. Il plugin accetta l'algoritmo indicato nella risposta SAML, invece di imporre quello configurato. Un attaccante può selezionare HMAC-SHA1, inducendo il plugin a trattare la chiave pubblica RSA dell'Identity Provider come un segreto condiviso. Poiché la chiave pubblica è nota, l'attaccante può forgiare una firma valida. Questa falla ha un punteggio CVSS di 8.1.

CVE-2026-15981 nasce da un comportamento difettoso nella verifica crittografica. Il plugin interpreta un errore OpenSSL, il valore -1, come un esito positivo. Una firma malformata supera così la validazione. I database di settore attribuiscono a questa vulnerabilità un punteggio CVSS di 9.8, il massimo. Concatenando le due falle, un attaccante non autenticato può bypassare completamente l'autenticazione e ottenere privilegi di amministratore.

Le versioni coinvolte e le patch

Le vulnerabilità sono state corrette con patch distribuite a luglio. Le versioni che risolvono i problemi, per ciascuna edizione, sono le seguenti:

Edizione	Versione corretta
Free, single site	5.4.5
Premium, single site	13.0.4
Standard, single site	17.06
Premium/Enterprise/All-Inclusive, multisite	20.2.8
Enterprise/All-Inclusive, single site	26.0.3
VIP, single site	32.0.8
VIP, multisite	35.0.7

L'advisory ufficiale del vendor ha riguardato solo l'edizione gratuita. Le sei edizioni a pagamento non hanno ricevuto alcun avviso, nonostante le patch fossero disponibili. La dashboard di amministrazione WordPress non mostra notifiche di aggiornamento per le versioni a pagamento. I proprietari devono controllare manualmente la versione installata.

Perché i clienti a pagamento sono più esposti

Senza avvisi automatici, molti siti con edizioni a pagamento non hanno applicato gli aggiornamenti. Un attaccante che sfrutta le due falle prende il controllo completo del sito: modifica contenuti, installa malware, ruba dati. La fiducia nel flusso SSO viene minata. Inoltre, un proof-of-concept pubblico per l'edizione gratuita è già disponibile. Questo può aumentare rapidamente l'intensità degli attacchi, perché fornisce una base da adattare alle altre versioni.

L'attività di sfruttamento in corso

Patchstack segnala tentativi di sfruttamento e scansioni da sei indirizzi IP distribuiti tra Europa, Africa e Stati Uniti. Il 16 agosto, DigitalOcean ha bloccato una sessione anomala di amministratore WordPress proveniente da fuori della sua rete affidabile. L'indagine ha mostrato che gli attaccanti avevano concatenato le due falle per ottenere un cookie di sessione amministratore, sfruttando la versione Standard 16.1.9 del plugin.

Come mitigare il rischio

Chi usa il plugin miniOrange SAML 2.0 Single Sign On deve aggiornare immediatamente alla versione corretta indicata per la propria edizione. Poiché la dashboard WordPress non avvisa per le edizioni a pagamento, è indispensabile verificare manualmente la versione installata. Occorre monitorare i log per sessioni amministrative anomale, accessi da IP inattesi o modifiche non autorizzate. L'uso di un Web Application Firewall con regole specifiche per queste CVE può bloccare i tentativi di sfruttamento. Se l'aggiornamento non è possibile nell'immediato, conviene disattivare temporaneamente il plugin SSO o applicare controlli aggiuntivi sull'autenticazione.

Al momento non risultano pubbliche indicazioni sull'inserimento delle due CVE nel catalogo KEV della CISA.