Im WordPress-Plugin Xecurify miniOrange SAML 2.0 Single Sign On wurden zwei kritische Authentifizierungs-Bypass-Schwachstellen entdeckt, die es einem nicht authentifizierten Angreifer erlauben, sich als beliebiger Benutzer anzumelden – inklusive Administratoren. Laut Patchstack wurden bereits opportunistische Scans mit Exploit-Versuchen beobachtet, und öffentlicher Proof-of-Concept-Code (PoC) zur Reproduktion des Angriffs ist frei verfügbar. Betreiber von Websites mit diesem Plugin müssen umgehend auf Version 17.0.6 (Standard Edition) oder höher aktualisieren.
Technische Details der Schwachstellen
Es wurden zwei Schwachstellen mit folgenden CVE-Identifikatoren entdeckt:
- CVE-2026-61979 (CVSS 8.1) – Privilegienerweiterung ohne Authentifizierung, ausgelöst durch eine Verwechslung der Signaturalgorithmen (signature algorithm confusion). Behoben in Version 17.0.5 der Standard Edition.
- CVE-2026-15981 (CVSS 9.8) – Authentifizierungs-Bypass durch Akzeptieren fehlerhafter Signaturen als gültig. Behoben in Version 17.0.6 der Standard Edition.
Die Ursache der kritischsten Schwachstelle CVE-2026-15981 verdient eine gesonderte Betrachtung. Die Funktion mo_saml_validate_signature() führt eine nicht strikte boolesche Prüfung des Rückgabewerts der PHP-Funktion openssl_verify() durch. Diese Funktion kann drei Werte zurückgeben: 1 (Signatur gültig), 0 (Signatur ungültig) und -1 (Verarbeitungsfehler). Das Problem besteht darin, dass der Wert -1 bei einem nicht strikten Vergleich als truthy interpretiert wird – also als erfolgreiche Signaturprüfung.
Dies ist ein klassischer Fehler beim Umgang mit Rückgabewerten in PHP, der einen OpenSSL-Fehler in einen vollständigen Signatur-Bypass verwandelt. Ein Angreifer erzeugt eine SAML-Response mit einem beliebigen NameID-Wert (der auf den Zielbenutzer verweist) und einer absichtlich fehlerhaften Signatur, die einen Verarbeitungsfehler in OpenSSL auslöst. In der Folge ruft das Plugin wp_set_auth_cookie() für das Zielkonto auf und verschafft dem Angreifer damit eine vollwertige Sitzung.
Beobachtete Aktivität
Berichten zufolge entdeckte das Sicherheitsteam von DigitalOcean die Schwachstellen, nachdem eine auffällige versuchte Erstellung einer WordPress-Administratorsitzung von ausserhalb des vertrauenswürdigen Netzwerks registriert worden war. Nach Angaben von Patchstack hatte der Angreifer bereits ein Admin-Session-Cookie über den Authentifizierungs-Bypass erlangt, weitere Aktionen im Admin-Backend wurden jedoch durch Netzwerkbeschränkungen blockiert – der Administrationsbereich war ausschliesslich aus einem vertrauenswürdigen Netzwerk erreichbar.
Dieser Vorfall zeigt eindrücklich den Wert des Prinzips der mehrschichtigen Verteidigung: Selbst bei erfolgreicher Ausnutzung der Schwachstelle verhinderten zusätzliche Netzwerkbeschränkungen eine vollständige Kompromittierung.
Patchstack hat Scanning-Aktivität von den folgenden IP-Adressen registriert:
207.211.214.4179.127.224.14102.91.71.83162.243.116.14884.201.6.5464.225.25.188
Nach Einschätzung von Patchstack deutet die Streuung der IP-Adressen auf opportunistisches Scannen hin, nicht auf eine gezielte Kampagne. Vermutlich setzen Angreifer den Exploit auf alle Websites mit installiertem Plugin an, ohne die konkrete Edition oder Version zu prüfen. Wichtig ist zu beachten, dass die Informationen zur aktiven Ausnutzung auf einer einzigen Quelle basieren und nicht unabhängig bestätigt wurden; keine der CVEs ist im CISA-KEV-Katalog gelistet.
Auswirkungsanalyse
Das Plugin miniOrange SAML 2.0 SSO wird von Organisationen eingesetzt, die WordPress mit unternehmensweiten Single-Sign-On-Systemen integrieren. Das bedeutet, dass vor allem Unternehmenswebsites, Intranet-Portale und E-Commerce-Plattformen gefährdet sind, bei denen SAML-Authentifizierung für ein zentrales Zugriffsmanagement genutzt wird.
Das Vorhandensein eines öffentlichen PoC-Codes, der Berichten zufolge beide Schwachstellen zu einer Kette kombiniert, um Administratorrechte zu erlangen, senkt die Einstiegshürde für Angreifer erheblich. Eine erfolgreiche Ausnutzung ermöglicht vollständige Kontrolle über die WordPress-Website – von der Einschleusung von Schadcode und Umleitung des Traffics bis hin zur Nutzung der kompromittierten Seite als Ausgangspunkt für weitere Angriffe auf die Infrastruktur der Organisation.
Empfehlungen zum Schutz
- Sofortiges Update: Aktualisieren Sie das Plugin miniOrange SAML 2.0 SSO mindestens auf Version 17.0.6 (Standard Edition). Wenn Sie eine andere Edition des Plugins verwenden, prüfen Sie beim Hersteller die Verfügbarkeit eines Patches.
- Log-Analyse: Analysieren Sie die Webserver-Logs auf verdächtige POST-Requests an Endpunkte zur Verarbeitung von SAML-Responses, insbesondere von den oben aufgeführten IP-Adressen.
- Sitzungs-Audit: Überprüfen Sie die Liste aktiver WordPress-Administrator-Sitzungen. Beenden Sie alle Sitzungen zwangsweise und setzen Sie Administratorpasswörter zurück, wenn Anzeichen für unbefugten Zugriff vorliegen.
- Beschränkung des Zugriffs auf das Admin-Panel: Der Fall DigitalOcean bestätigt die Wirksamkeit von IP- oder VPN-basierten Zugriffsbeschränkungen auf
/wp-admin/als zusätzliche Sicherheitsschicht. - Blockieren von IOCs: Erwägen Sie, die genannten IP-Adressen nach vorheriger Prüfung ihrer Relevanz für Ihre Infrastruktur in WAF-Blocklisten aufzunehmen.
Angesichts der Kritikalität der Schwachstelle CVE-2026-15981 (CVSS 9.8), des vorhandenen öffentlichen PoC und der beobachteten Scans sollte das Update des Plugins miniOrange SAML 2.0 SSO auf Version 17.0.6 mit höchster Priorität erfolgen – innerhalb von Stunden, nicht Tagen. Für Websites, auf denen ein sofortiges Update nicht möglich ist, kann die vorübergehende Deaktivierung des Plugins bis zur Patch-Einspielung als Zwischenmassnahme dienen.
