Hacker greifen WordPress-Seiten über Authentifizierungslücken an

Angreifer versuchen aktiv, zwei kritische Schwachstellen im miniOrange-SAML-2.0-Single-Sign-On-Plugin für WordPress auszunutzen.

Das von Xecurify entwickelte Plugin verwandelt eine WordPress-Website in einen SAML-Dienstanbieter und erlaubt Nutzern die Anmeldung über Unternehmens-Identitätsplattformen wie Microsoft Entra ID, Okta, Google Workspace oder OneLogin, statt separate WordPress-Zugangsdaten zu benötigen. Die kostenlose Version zählt nach Angaben des Anbieters mehr als 10.000 Downloads, für die sechs kostenpflichtigen Editionen werden insgesamt rund 30.000 Kunden angegeben.

Die beiden bei aktiven Angriffsversuchen beobachteten Schwachstellen, CVE-2026-61979 und CVE-2026-15981, lassen sich miteinander kombinieren, um die Authentifizierung vollständig zu umgehen. Da das Plugin den in eingehenden SAML-Antworten angegebenen Signaturalgorithmus übernimmt, statt den eigentlich konfigurierten durchzusetzen, kann ein Angreifer über die erste Schwachstelle gezielt HMAC-SHA1 auswählen.

Dadurch behandelt das Plugin den öffentlichen RSA-Schlüssel des Identitätsanbieters fälschlich als gemeinsames Geheimnis, das dem Angreifer bereits bekannt ist, wodurch sich eine vom Plugin als echt akzeptierte Signatur fälschen lässt. Die zweite Schwachstelle sorgt zusätzlich dafür, dass ein eigentlich fehlgeschlagener OpenSSL-Prüfvorgang fälschlich als erfolgreich gewertet wird, wodurch auch fehlerhaft aufgebaute Signaturen die Prüfung bestehen.

Warnung erreichte nur Nutzer der kostenlosen Version

Nach Angaben des Sicherheitsunternehmens Patchstack wurden beide Schwachstellen bereits im Juli öffentlich gemeldet und behoben, die Sicherheitsmitteilung des Herstellers bezog sich dabei jedoch ausschließlich auf die kostenlose Ausgabe des Plugins, obwohl Korrekturen auch für die sechs kostenpflichtigen Editionen bereitgestellt wurden. Da das Risiko für diese Versionen nicht offengelegt wurde, unternahmen zahlreiche Betreiber der kostenpflichtigen Editionen offenbar keine entsprechende Aktualisierung.

Patchstack zufolge blockierte der Cloud-Anbieter DigitalOcean am 16. August eine ungewöhnliche WordPress-Administratorsitzung, die von außerhalb des eigenen vertrauenswürdigen Netzwerks stammte. Die anschließende Untersuchung ergab, dass Angreifer beide Schwachstellen über die Standard-Edition des Plugins in Version 16.1.9 kombiniert hatten, um sich ein Administrator-Sitzungscookie zu verschaffen. Nach Angaben von Patchstack laufen entsprechende Ausnutzungsversuche sowie gezieltes Scannen bereits von sechs IP-Adressen aus Europa, Afrika und den USA, zusätzlich ist bereits öffentlicher Machbarkeitsnachweis-Code für die kostenlose Version verfügbar.

Betreiber müssen manuell aktualisieren

Patchstack warnt, dass das WordPress-Administrationsdashboard für die kostenpflichtigen Plugin-Versionen keine Update-Hinweise anzeigt, weshalb Website-Betreiber selbst aktiv auf eine der reparierten Versionen aktualisieren müssen: Version 5.4.5 für die kostenlose Einzelseiten-Version, 13.0.4 für Premium, 17.06 für Standard, 20.2.8 für Premium/Enterprise/All-Inclusive im Multisite-Betrieb, 26.0.3 für Enterprise/All-Inclusive im Einzelseitenbetrieb sowie 32.0.8 beziehungsweise 35.0.7 für die VIP-Editionen in Einzelseiten- und Multisite-Konfiguration.

(red)