Due gravi falle di sicurezza nel plugin miniOrange SAML 2.0 Single Sign On per WordPress permettono agli hacker di bypassare l'autenticazione e ottenere accesso amministrativo. Le edizioni a pagamento sono rimaste esposte per settimane, mentre gli attacchi aumentano e le patch non vengono segnalate automaticamente.
Un'ondata di attacchi informatici sta colpendo i siti WordPress che utilizzano il plugin miniOrange SAML 2.0 Single Sign On, sfruttando due vulnerabilità critiche che consentono di aggirare i controlli di autenticazione e ottenere privilegi da amministratore. Il plugin, sviluppato da Xecurify, trasforma WordPress in un service provider SAML, permettendo l'accesso tramite piattaforme di identità aziendali come Microsoft Entra ID, Okta, Google Workspace e OneLogin, senza dover usare credenziali WordPress dedicate.
Le due falle, identificate come CVE-2026-61979 e CVE-2026-15981, possono essere combinate per eludere la verifica dell'identità. La prima vulnerabilità permette all'attaccante di scegliere l'algoritmo di firma HMAC-SHA1, inducendo il plugin a trattare la chiave pubblica RSA dell'identity provider come segreto condiviso. Poiché la chiave pubblica è nota, è possibile generare una firma accettata come valida. La seconda falla fa sì che un errore di verifica OpenSSL (-1) venga interpretato come successo, consentendo il passaggio di firme malformate.
Patch incomplete e rischio per le versioni a pagamento
Secondo Patchstack, le vulnerabilità sono state rese pubbliche e corrette a luglio, ma l'avviso del produttore ha riguardato solo la versione gratuita, lasciando molti clienti delle edizioni a pagamento ignari del rischio. Le patch sono state rilasciate per tutte le versioni, ma solo la free ha ricevuto comunicazione ufficiale. Le versioni aggiornate che risolvono i problemi sono: 5.4.5 (free, single site), 13.0.4 (premium, single site), 17.06 (standard, single site), 20.2.8 (premium/enterprise/all-inclusive, multisite), 26.0.3 (enterprise/all-inclusive, single site), 32.0.8 (VIP, single site), 35.0.7 (VIP, multisite).
La mancata comunicazione ha portato molti siti con plugin a pagamento a non aggiornare, lasciando spazio agli attaccanti. Il 16 agosto, DigitalOcean ha rilevato una sessione amministrativa anomala su WordPress proveniente da una rete non autorizzata: l'analisi ha confermato che gli hacker avevano sfruttato entrambe le falle sulla versione Standard 16.1.9 per ottenere un cookie di sessione admin.
Attacchi in corso e assenza di avvisi automatici
Patchstack segnala che sono già in corso tentativi di sfruttamento e scansioni opportunistiche da sei indirizzi IP distribuiti tra Europa, Africa e Stati Uniti. Inoltre, è disponibile pubblicamente un proof-of-concept per la versione gratuita, il che potrebbe accelerare la diffusione degli attacchi. Un aspetto critico è che le versioni a pagamento del plugin non mostrano avvisi di aggiornamento nella dashboard di WordPress: gli amministratori devono quindi procedere manualmente all'upgrade per proteggere i propri siti.
Il tema della sicurezza dei plugin WordPress e delle vulnerabilità zero-day è sempre più centrale, come dimostrano anche le recenti iniziative di rafforzamento della difesa informatica, tra cui il lancio di nuovi strumenti AI per la cybersecurity da parte di grandi aziende: ad esempio, OpenAI ha presentato un modello dedicato proprio alla protezione contro le vulnerabilità, come raccontato nell'approfondimento su nuove soluzioni AI per la sicurezza informatica.
