Hacker greifen WordPress-Websites mit Angriffen zur Umgehung der miniOrange-Authentifizierung an

Angreifer versuchen, zwei kritische Schwachstellen im WordPress-Plugin miniOrange SAML 2.0 Single Sign On auszunutzen.

Die Schwachstellen können miteinander verkettet werden, um die Authentifizierung zu umgehen und sich als WordPress-Administrator anzumelden. Sicherheitsforscher haben bereits Scan- und Ausnutzungsversuche gegen anfällige Websites festgestellt.

Website-Betreiber, die eine betroffene miniOrange-Version verwenden, sollten ihre installierte Version manuell überprüfen und sie so schnell wie möglich aktualisieren.

Zwei Schwachstellen ermöglichen gefälschte SAML-Anmeldeantworten

Die Schwachstellen zur Umgehung der miniOrange-Authentifizierung werden als CVE-2026-61979 und CVE-2026-15981 verfolgt.

MiniOrange SAML SSO ermöglicht WordPress-Nutzern die Anmeldung über Identitätsanbieter wie Microsoft Entra ID, Okta, Google Workspace und OneLogin. Dadurch kann das Plugin zu einem wichtigen Bestandteil des Authentifizierungssystems einer Website werden.

Die erste Schwachstelle ermöglicht es dem Plugin, den in einer eingehenden SAML-Antwort angegebenen Signaturalgorithmus zu akzeptieren. Ein Angreifer kann Berichten zufolge HMAC-SHA1 auswählen, wodurch das Plugin einen öffentlichen RSA-Schlüssel als gemeinsames Geheimnis behandelt.

Da öffentliche Schlüssel für Angreifer verfügbar sind, kann dies ihnen ermöglichen, eine gefälschte Signatur zu erstellen, die vom Plugin akzeptiert wird.

Die zweite Schwachstelle betrifft die Verarbeitung von OpenSSL-Verifizierungsfehlern durch das Plugin. Es kann einen Verifizierungsfehler als erfolgreiches Ergebnis behandeln, wodurch fehlerhafte Signaturen die Validierung bestehen können.

Zusammen können die Fehler Angreifern ermöglichen, eine betrügerische SAML-Antwort zu erstellen und Administratorzugriff zu erhalten.

Angriffe wurden bereits festgestellt

Patchstack berichtete, dass DigitalOcean am 16. August eine verdächtige WordPress-Administratorsitzung blockierte.

Die Sitzung stammte von außerhalb des vertrauenswürdigen Netzwerks der Organisation. Ermittler stellten fest, dass Angreifer die beiden Schwachstellen gegen die Standard-Version des Plugins, Version 16.1.9, ausgenutzt hatten, um ein Administrator-Sitzungscookie zu erhalten.

Patchstack hat außerdem opportunistische Scan- und Ausnutzungsversuche von sechs IP-Adressen in Europa, Afrika und den Vereinigten Staaten beobachtet.

Ein Proof-of-Concept-Exploit für die kostenlose Version ist öffentlich verfügbar. Dies könnte zu umfangreicheren Angriffen auf ungepatchte WordPress-Websites führen.

Kostenpflichtige Versionen zeigen möglicherweise keine Update-Warnungen an

Die Schwachstellen wurden im Juli offengelegt und behoben. Der Sicherheitshinweis des Anbieters bezog sich Berichten zufolge jedoch nur auf die kostenlose Version, obwohl auch für sechs kostenpflichtige Versionen Korrekturen veröffentlicht wurden.

Daher sehen Administratoren, die kostenpflichtige Versionen verwenden, möglicherweise keine Update-Warnung im WordPress-Dashboard. Sie müssen manuell nach Updates suchen.

Die gepatchten Versionen sind:

• Free, single site: 5.4.5
• Premium, single site: 13.0.4
• Standard, single site: 17.06
• Premium, Enterprise und All-Inclusive multisite: 20.2.8
• Enterprise und All-Inclusive single site: 26.0.3
• VIP, single site: 32.0.8
• VIP, multisite: 35.0.7

WordPress-Administratoren sollten sofort aktualisieren

Website-Betreiber sollten jede installierte miniOrange SAML SSO-Version identifizieren und sie mit der Liste der gepatchten Versionen vergleichen.

Anschließend sollten sie anfällige Installationen manuell aktualisieren, anstatt auf eine Benachrichtigung im Dashboard zu warten. Administratoren sollten außerdem kürzlich erstellte Administratorkonten, Anmeldeaktivitäten und Sitzungsprotokolle auf unerwartete Zugriffe überprüfen.

Die Schwachstellen zur Umgehung der miniOrange-Authentifizierung betreffen ein Plugin, das für die Verwaltung vertrauenswürdiger Anmeldungen entwickelt wurde. Daher ist eine schnelle Installation der Sicherheitsupdates besonders wichtig.