Lỗ hổng miniOrange SAML trên WordPress bị khai thác để chiếm quyền quản trị
"Attackers are actively exploiting two unauthenticated authentication bypass flaws in the Xecurify miniOrange SAML 2.0 Single Sign On WordPress plugin, tracked as CVE-2026-61979 (CVSS 8.1) and CVE-2026-15981 (CVSS 9.8). The issues can let an attacker log in as any WordPress user, including administrators, by abusing signature validation weaknesses; fixes are available in versions 17.0.5 and 17.0.6 for the Standard edition, and PoC code is reportedly available."
Ảnh hưởng ở mức nghiêm trọng vì có thể dẫn đến chiếm quyền quản trị WordPress và truy cập trái phép vào dữ liệu, cấu hình, hoặc nội dung сайта. Sự xuất hiện của PoC và hoạt động khai thác đang diễn ra làm tăng rủi ro bị tấn công hàng loạt.
Có thể gây gián đoạn dịch vụ, thay đổi nội dung trái phép và phát sinh chi phí xử lý sự cố, khôi phục hệ thống. Các website phụ thuộc vào WordPress và plugin SSO này cần ưu tiên vá lỗi để giảm nguy cơ ảnh hưởng vận hành.
Các tác nhân tấn công đang khai thác hai lỗ hổng bỏ qua xác thực trong plugin Xecurify miniOrange SAML 2.0 Single Sign On cho WordPress, cho phép đăng nhập như bất kỳ người dùng nào, kể cả quản trị viên. Hai mã lỗi được theo dõi là CVE-2026-61979 với CVSS 8.1 và CVE-2026-15981 với CVSS 9.8. Theo mô tả kỹ thuật, vấn đề nằm ở cách plugin xử lý và xác thực chữ ký SAML, khiến một chữ ký lỗi có thể bị hiểu nhầm là hợp lệ.
Bản vá đã có trong Standard edition 17.0.5 và 17.0.6. Patchstack cho biết đã ghi nhận hoạt động quét từ nhiều địa chỉ IP, cho thấy xu hướng khai thác cơ hội thay vì nhắm mục tiêu riêng lẻ. Ngoài ra, PoC đã được công bố, làm tăng nguy cơ bị khai thác trên diện rộng.
Khuyến nghị: quản trị viên WordPress cần cập nhật ngay lên phiên bản đã vá, kiểm tra nhật ký đăng nhập và phiên quản trị, đồng thời rà soát các tài khoản có quyền cao. Nếu hệ thống đang giới hạn truy cập quản trị qua mạng tin cậy, vẫn nên xác minh rằng không có cookie phiên quản trị hoặc dấu hiệu truy cập bất thường nào đã bị lạm dụng.