Angreifer nutzen miniOrange SAML-Schwachstellen aus, um WordPress-Admin zu übernehmen
Angreifer nutzen schwerwiegende Schwachstellen im miniOrange WordPress-Plugin aus, die es jedem ermöglichen, sich als Administrator anzumelden.
Angreifer versuchen aktiv, zwei schwerwiegende Authentifizierungsumgehungs-Schwachstellen im Xecurify miniOrange SAML 2.0 Single Sign On-Plugin für WordPress auszunutzen, so eine Warnung von Patchstack, einem WordPress-Sicherheitsunternehmen. SAML steht für Security Assertion Markup Language, ein Standard, der es einem Benutzer ermöglicht, sich einmal anzumelden und dann auf mehrere Dienste zuzugreifen, ohne sich erneut anzumelden. Das Plugin fügt diese Single-Sign-On-Fähigkeit zu WordPress-Seiten hinzu. Die Fehler ermöglichen es einer nicht authentifizierten Person, sich als jeder vorhandene WordPress-Benutzer anzumelden, einschließlich eines Seitenadministrators, was bedeutet, dass ein erfolgreicher Exploit die vollständige Kontrolle über eine Website an einen externen Angreifer übergeben kann, ohne dass ein Passwort erforderlich ist.
Patchstack identifiziert die beiden Schwachstellen als CVE-2026-61979 und CVE-2026-15981. CVE-2026-61979 hat einen CVSS-Schweregrad von 8,1 und wird als nicht authentifiziertes Privilegieneskalationsproblem beschrieben. Privilegieneskalation bedeutet, eine höhere Zugriffsebene zu erlangen, als man haben sollte, und in diesem Fall entsteht sie durch Verwirrung bei der Überprüfung des Algorithmus, der für eine digitale Signatur verwendet wird. Dieser Fehler ist in Version 17.0.5 der Standard-Edition behoben. CVE-2026-15981 hat einen höheren CVSS-Wert von 9,8 und ist eine Authentifizierungsumgehung, die auftritt, weil das Plugin fehlerhafte Signaturen als gültig akzeptiert. Authentifizierungsumgehung bedeutet, dass ein Angreifer die normale Anmeldeüberprüfung überspringen kann. Dieser zweite Fehler ist in Version 17.0.6 der Standard-Edition behoben.
Die technische Ursache von CVE-2026-15981 wird auf CVE.org erklärt, einer öffentlichen Datenbank für Sicherheitslücken. Die Funktion mo_saml_validate_signature() des Plugins führt eine lose boolesche Prüfung des rohen tri-state-Integer durch, der von PHPs openssl_verify() zurückgegeben wird. In einfachen Worten: Wenn der Verifizierungsprozess den Wert -1 zurückgibt, was bedeutet, dass ein Fehler aufgetreten ist, behandelt die lose Prüfung diese -1 als wahr und somit als erfolgreiche Signaturprüfung. Ein Angreifer kann eine manipulierte SAMLResponse einreichen, die eine vom Angreifer kontrollierte NameID enthält – die Kennung, die ein Dienst verwendet, um zu wissen, wer sich anmeldet – und einen absichtlich fehlerhaften Signaturwert, der einen OpenSSL-Verarbeitungsfehler auslöst. Die Überprüfung wird vollständig umgangen, und das Plugin ruft dann wp_set_auth_cookie() für das Zielkonto auf. Diese Funktion erstellt das Anmelde-Cookie für WordPress, sodass der Angreifer effektiv als dieser Benutzer angemeldet ist.
Patchstack dankt dem Sicherheitsteam von DigitalOcean für die Entdeckung der Schwachstellen, nachdem sie einen anomalen WordPress-Administrator-Sitzungsversuch von außerhalb eines vertrauenswürdigen Netzwerks beobachtet hatten. Der Angreifer hatte die Umgehung bereits genutzt, um ein WordPress-Admin-Sitzungscookie zu erhalten, konnte jedoch keine weiteren Admin-Panel-Aktionen abschließen, da diese Vorgänge auf das vertrauenswürdige Netzwerk beschränkt waren. Die Scan-Aktivität wurde von sechs IP-Adressen aufgezeichnet: 207.211.214.41, 79.127.224.14, 102.91.71.83, 162.243.116.148, 84.201.6.54 und 64.225.25.188.
Patchstack fügt hinzu, dass die Verbreitung auf opportunistisches Scannen und nicht auf eine gezielte Kampagne hindeutet. Die Aktivität scheint den Exploit auf jede Seite zu werfen, auf der das Plugin installiert ist, ohne zu prüfen, welche Edition oder Version dahinter steckt. WordPress-Seitenbetreiber sollten die neuesten Fixes sofort anwenden. Die Dringlichkeit wird durch die Verfügbarkeit von Proof-of-Concept-Code erhöht, oft als PoC abgekürzt, bei dem es sich um Beispielcode handelt, der zeigt, wie ein Angriff funktioniert. Angreifer können die beiden Fehler kombinieren, um Admin-Rechte zu erlangen und die Kontrolle über anfällige Seiten zu übernehmen.
Für Seitenbetreiber, die das miniOrange SAML-Plugin noch ausführen, besteht die sofortige Maßnahme darin, auf Version 17.0.6 oder die neueste Version zu aktualisieren und zu prüfen, ob das Plugin tatsächlich noch benötigt wird. Das Entfernen ungenutzter Plugins reduziert die Angriffsfläche. Für Organisationen, die es bevorzugen, dass diese Art von Patches als Teil ihrer Hosting-Plattform behandelt wird, bietet AEU Hosting verwaltetes WordPress-Hosting mit End-to-End-Sicherheit, was dazu beitragen kann, eine WordPress-Installation mit weniger manuellem Aufwand gewartet zu halten.
So schützen Sie sich
- Wenn Ihre Website das miniOrange SAML-Plugin verwendet, aktualisieren Sie dieses Plugin sofort auf die neueste Version.
- Wenn Sie das miniOrange SAML-Plugin auf Ihrer WordPress-Seite nicht mehr verwenden, entfernen Sie es vollständig, damit es nicht ausgenutzt werden kann.
- Aktivieren Sie automatische Updates für Ihre WordPress-Plugins, damit Sicherheitsfixes installiert werden, ohne dass Sie daran denken müssen.
- Überprüfen Sie Ihre WordPress-Benutzerliste und entfernen oder setzen Sie alle Administrator-Konten zurück, die Sie nicht erkennen.
- Verwenden Sie Zwei-Faktor-Authentifizierung für Administrator-Anmeldungen, die einen zweiten Code verlangt, selbst wenn ein Passwort gestohlen wird.
Schwachstellen & Lösungen
- CVE-2026-15981 An authentication bypass vulnerability in miniOrange SAML 2.0 Single Sign On plugin caused by accepting malformed signatures as valid, fixed in version 17.0.6 for the Standard edition. Lösung & Details ansehen →
- CVE-2026-61979 An unauthenticated privilege escalation vulnerability in miniOrange SAML 2.0 Single Sign On plugin, fixed in version 17.0.5 for the Standard edition. Lösung & Details ansehen →
Begriffe Erklärt
- SAML Ein Standard, mit dem sich Benutzer einmal anmelden und dann auf mehrere Websites oder Dienste zugreifen können, ohne sich erneut anzumelden.
- authentication bypass Ein Sicherheitsfehler, der es jemandem ermöglicht, die normale Anmeldeüberprüfung zu umgehen und ohne Passwort Zugriff zu erhalten.
- CVSS Ein standardisiertes Bewertungssystem von 0 bis 10, das bewertet, wie schwerwiegend eine Sicherheitslücke ist.
- privilege escalation Das Erlangen einer höheren Zugriffsebene, wie Administratorrechte, als ein Benutzer haben sollte.
- NameID Ein Datenelement in einer Anmeldenachricht, das angibt, welches Benutzerkonto sich anmelden möchte.
- proof-of-concept Beispielcode oder eine Demonstration, die zeigt, wie ein Angriff funktioniert, oft von Forschern oder Angreifern verwendet.
- session cookie Eine kleine Datei, die in Ihrem Browser gespeichert wird und Sie nach der Eingabe Ihres Passworts bei einer Website angemeldet hält.