Gli attaccanti sfruttano le falle di miniOrange SAML per impadronirsi dell'admin di WordPress

Gli attaccanti stanno attivamente cercando di sfruttare due gravi vulnerabilità di bypass dell'autenticazione nel plugin Xecurify miniOrange SAML 2.0 Single Sign On per WordPress, secondo un avviso di Patchstack, una società di sicurezza per WordPress. SAML sta per Security Assertion Markup Language, uno standard che consente a un utente di effettuare il login una volta e poi accedere a diversi servizi senza dover accedere di nuovo. Il plugin aggiunge questa capacità di single sign-on ai siti WordPress. Le falle rendono possibile per una persona non autenticata accedere come qualsiasi utente WordPress esistente, incluso un amministratore del sito, il che significa che un attacco riuscito può consegnare il pieno controllo di un sito web a un attaccante esterno senza bisogno di una password.

Patchstack identifica le due vulnerabilità come CVE-2026-61979 e CVE-2026-15981. CVE-2026-61979 ha un punteggio di gravità Common Vulnerability Scoring System (CVSS) di 8.1 ed è descritta come un problema di escalation dei privilegi non autenticata. L'escalation dei privilegi significa ottenere un livello di accesso superiore a quello che si dovrebbe avere, e in questo caso deriva da una confusione nel modo in cui il plugin controlla l'algoritmo utilizzato per una firma digitale. Questa falla è risolta nella versione 17.0.5 dell'edizione Standard. CVE-2026-15981 ha un punteggio CVSS più alto di 9.8 ed è un bypass dell'autenticazione che si verifica perché il plugin accetta firme malformate come valide. Il bypass dell'autenticazione significa che un attaccante può saltare il normale controllo di login. Questa seconda falla è risolta nella versione 17.0.6 dell'edizione Standard.

La radice tecnica di CVE-2026-15981 è spiegata su CVE.org, un database pubblico di vulnerabilità di sicurezza. La funzione mo_saml_validate_signature() del plugin esegue un controllo booleano lasco sul valore intero tri-stato grezzo restituito da openssl_verify() di PHP. In parole semplici, quando il processo di verifica restituisce il valore -1, che significa che si è verificato un errore, il controllo lasco tratta quel -1 come vero e quindi come un controllo di firma riuscito. Un attaccante può inviare una SAMLResponse artigianale che contiene un NameID controllato dall'attaccante, che è l'identificatore che un servizio usa per sapere chi sta effettuando l'accesso, e un valore di firma deliberatamente malformato che provoca un errore di elaborazione OpenSSL. La verifica viene completamente aggirata, e il plugin chiama quindi wp_set_auth_cookie() per l'account preso di mira. Quella funzione crea il cookie di login per WordPress, quindi l'attaccante è effettivamente connesso come quell'utente.

Patchstack attribuisce al team di sicurezza di DigitalOcean la scoperta delle vulnerabilità dopo che hanno osservato un tentativo anomalo di sessione di amministratore WordPress dall'esterno di una rete fidata. L'attaccante aveva già utilizzato il bypass per ottenere un cookie di sessione di amministratore WordPress, ma non ha potuto completare ulteriori azioni nel pannello di amministrazione perché quelle operazioni erano limitate alla rete fidata. L'attività di scansione è stata registrata da sei indirizzi IP: 207.211.214.41, 79.127.224.14, 102.91.71.83, 162.243.116.148, 84.201.6.54 e 64.225.25.188.

Patchstack aggiunge che la diffusione suggerisce una scansione opportunistica piuttosto che una campagna mirata. L'attività sembra lanciare l'exploit su ogni sito in cui il plugin è installato senza controllare quale edizione o versione ci sia dietro. I proprietari di siti WordPress dovrebbero applicare subito le ultime correzioni. L'urgenza è aumentata dalla disponibilità di codice proof-of-concept, spesso abbreviato in PoC, che è codice di esempio che dimostra come funziona un attacco. Gli attaccanti possono concatenare le due falle per ottenere privilegi di amministratore e prendere il controllo dei siti vulnerabili.

Per i proprietari di siti che stanno ancora eseguendo il plugin miniOrange SAML, l'azione immediata è aggiornare alla versione 17.0.6 o all'ultima release, e verificare se il plugin è ancora effettivamente necessario. Rimuovere i plugin inutilizzati riduce la superficie di attacco. Per le organizzazioni che preferiscono che questo tipo di patch sia gestito come parte della loro piattaforma di hosting, AEU Hosting offre hosting WordPress gestito con sicurezza end-to-end, che può aiutare a mantenere un'installazione WordPress con meno sforzo manuale.