概要
WordPress向けのSAML 2.0シングルサインオン(SSO)プラグイン「miniOrange SAML」に存在する2件の未認証認証バイパス脆弱性が、実際の攻撃者に悪用されていることが明らかになった。DigitalOceanのセキュリティチームが、信頼できないネットワークから発生した不審なWordPress管理者セッションの試行を検出したことで発覚した。攻撃者はすでにこの脆弱性を利用して管理者セッションクッキーを取得していたが、DigitalOcean側の信頼できるネットワークに関する制限によって実害には至らなかったという。
技術的な詳細
悪用されている脆弱性は2つで、いずれもStandard版で修正されている。1つはCVE-2026-61979(CVSS 8.1)で、署名アルゴリズムの混同により未認証のまま権限を昇格できる欠陥であり、バージョン17.0.5で修正済みだ。もう1つはCVE-2026-15981(CVSS 9.8)で、不正な署名を正当なものとして受け入れてしまう認証バイパスの欠陥であり、バージョン17.0.6で修正されている。
根本原因は、署名検証を担うmo_saml_validate_signature()関数の実装にある。この関数はPHPのopenssl_verify()が返す3値の整数(検証成功で1、失敗で0、エラーで-1)を適切に扱っておらず、エラーを示す戻り値-1を真(検証成功)と誤って評価してしまう。この結果、細工されたSAMLレスポンスや不正な署名であっても認証を通過させてしまい、攻撃者が任意のユーザー、特に管理者としてログインできる状態が生まれていた。
悪用の実態
攻撃者は複数のIPアドレス(207.211.214.41、79.127.224.14、102.91.71.83、162.243.116.148、84.201.6.54、64.225.25.188など)から機会的なスキャンを行っており、特定の組織を狙い撃ちにするのではなく、このプラグインを導入しているサイト全般を無差別に対象としているとみられる。概念実証(PoC)コードがすでに公開されていることも、悪用リスクを大幅に押し上げている要因となっている。
今後の対応
miniOrange SAMLプラグインを利用しているWordPressサイトの管理者は、Standard版17.0.6以降への即時アップデートが強く推奨される。PoCの公開により攻撃の裾野が広がっていることから、パッチ未適用の環境は早急な対応が必要だ。あわせて、管理者セッションログの確認や、信頼できないネットワークからのアクセス制限といった追加的な防御策も有効な対策となる。