Hackers estão tentando explorar duas vulnerabilidades críticas de bypass de autenticação no plugin miniOrange SAML 2.0 Single Sign On para WordPress, que podem ser usadas para forjar respostas SAML e fazer login como administradores.
O plugin miniOrange SAML SSO transforma um site WordPress em um provedor de serviços SAML, permitindo que os usuários entrem por plataformas corporativas de identidade, como Microsoft Entra ID, Okta, Google Workspace ou OneLogin, em vez de usar credenciais separadas do WordPress.
Criado pela Xecurify, o miniOrange é uma família de sete plugins, com uma versão gratuita que soma 10.000 downloads e 30.000 clientes nas outras seis versões.
As duas vulnerabilidades observadas nas tentativas de exploração são rastreadas como
CVE-2026-61979
e
CVE-2026-15981
e podem ser encadeadas para burlar a autenticação.
Como o plugin miniOrange SAML SSO aceita o algoritmo de assinatura das respostas SAML recebidas, em vez de impor o que foi configurado, um atacante pode usar a
CVE-2026-61979
para selecionar HMAC-SHA1. Isso faz com que o plugin trate a chave pública RSA do provedor de identidade, ou IdP, como se fosse o segredo compartilhado.
Como a chave pública é conhecida, o atacante consegue forjar uma assinatura que o plugin aceita como legítima.
O segundo problema de segurança,
CVE-2026-15981
, faz com que o plugin interprete um erro de verificação do OpenSSL, identificado como -1, como um resultado bem-sucedido, permitindo que assinaturas malformadas passem na validação.
Segundo a empresa de segurança Patchstack, as duas vulnerabilidades foram divulgadas publicamente e corrigidas em julho. No entanto, o comunicado do fornecedor cobriu apenas a edição gratuita, deixando as seis versões pagas sem alerta, embora correções também tenham sido disponibilizadas para elas.
As versões que corrigem as duas falhas são as seguintes:
Free, single site: 5.4.5
Premium, single site: 13.0.4
Standard, single site: 17.06
Premium/Enterprise/All-Inclusive, multisite: 20.2.8
Enterprise/All-Inclusive, single site: 26.0.3
VIP, single site: 32.0.8
VIP, multisite: 35.0.7
A falha em divulgar o risco em todas as versões do plugin teria levado muitos sites que usam as edições pagas a não tomar nenhuma providência, criando uma oportunidade para threat actors explorarem as duas vulnerabilidades.
A Patchstack informa que, em 16 de agosto, a DigitalOcean bloqueou uma sessão anômala de administrador do WordPress originada fora de sua rede confiável.
A investigação mostrou que os atacantes encadearam as duas falhas para obter um cookie de sessão de administrador por meio do plugin Standard na versão 16.1.9.
Os dados da Patchstack indicam que tentativas de exploração e varreduras oportunistas estão em andamento, feitas a partir de seis endereços IP distribuídos pela Europa, pela África e pelos Estados Unidos.
Também já está disponível publicamente um exploit de prova de conceito, ou PoC, voltado para a edição gratuita, o que pode acelerar o ritmo dos ataques a qualquer momento.
A Patchstack alerta que o painel de administração do WordPress não exibirá avisos de atualização para as versões pagas do plugin, portanto os responsáveis pelos sites precisam fazer a atualização manualmente para uma versão corrigida.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...