Хакеры пытаются использовать две критические уязвимости обхода аутентификации в плагине miniOrange SAML 2.0 Single Sign On для WordPress, которые могут быть использованы для подделки SAML-ответов и входа в систему под учетной записью администратора. Плагин miniOrange SAML SSO превращает сайт WordPress в поставщика услуг SAML, позволяя пользователям входить в систему через корпоративные платформы идентификации Microsoft Entra ID, Okta, Google Workspace или OneLogin, вместо отдельных учетных данных WordPress. Созданный компанией Xecurify, miniOrange представляет собой семейство из семи плагинов, бесплатная версия которых скачана 10 000 раз, а остальные шесть имеют 30 000 пользователей. Две эксплуатируемые уязвимости отслеживаются как CVE-2026-61979 и CVE-2026-15981 и могут быть объединены для обхода аутентификации. Поскольку плагин miniOrange SAML SSO принимает алгоритм подписи из входящих SAML-ответов вместо принудительного использования настроенного, злоумышленник может использовать CVE-2026-61979 для выбора HMAC-SHA1. Это приводит к тому, что плагин рассматривает открытый ключ RSA от поставщика идентификации (IdP) как общий секрет. Поскольку открытый ключ известен, злоумышленник может подделать подпись, которую плагин примет за подлинную. Вторая CVE-2026-15981 приводит к тому, что плагин рассматривает ошибку проверки OpenSSL (-1) как успешный результат, позволяя некорректно сформированным подписям проходить проверку. По данным Patchstack, две уязвимости были публично раскрыты и устранены в июле. Однако уведомление от поставщика касалось только бесплатной версии, в то время как шесть платных версий остались без предупреждения, хотя исправления были предоставлены и для них. Сообщается, что сокрытие информации о риске во всех версиях плагина привело к тому, что многие сайты, использующие платные версии, не предприняли никаких действий, что создало возможность для злоумышленников использовать две уязвимости. Как сообщает Patchstack, 16 августа DigitalOcean заблокировала аномальную сессию администратора WordPress, исходящую из-за пределов своей доверенной сети. В ходе расследования выяснилось, что злоумышленники объединили две уязвимости, чтобы получить cookie-файл сессии администратора через плагин стандартной версии 16.1.9. Телеметрия Patchstack показываюе, что попытки эксплуатации уязвимостей и сканирование ведутся с шести IP-адресов в Европе, Африке и США. В открытом доступе также находится PoC-эксплойт для атаки на бесплатную версию, поэтому масштабы атак могут в любой момент возрасти. Patchstack предупреждает, что в административной панели WordPress предупреждения об обновлениях для платных версий плагина не будут отображаться, поэтому владельцам сайтов необходимо вручную обновить его до исправленной версии.