Хакеры активно эксплуатируют две критические уязвимости в плагине miniOrange SAML для WordPress, позволяющие получить доступ к сайту под учётной записью администратора

Эти уязвимости, получившие идентификаторы CVE-2026-61979 и CVE-2026-15981, затрагивают популярный плагин, который используется для настройки единого входа (Single Sign-On) через корпоративные платформы, такие как Microsoft Entra ID, Okta или Google Workspace.

Хакеры активно эксплуатируют две критические уязвимости в плагине miniOrange SAML для WordPress, позволяющие получить доступ к сайту под учётной записью администратора. Фото: СС0

Первая проблема (CVE-2026-61979) заключается в том, что плагин позволяет злоумышленнику подменить алгоритм подписи на HMAC-SHA1, в результате чего открытый ключ провайдера идентификации (IdP) обрабатывается как общий секрет.

Поскольку открытый ключ известен, это позволяет подделать подпись SAML-ответа. Вторая уязвимость (CVE-2026-15981) делает ошибку в процессе проверки подписи, которую возвращает функция openssl_verify(), успешным результатом. Это позволяет злоумышленнику отправить специально сформированный SAML-ответ с некорректной подписью, который всё равно будет принят системой.

Используя эти уязвимости в связке, злоумышленники могут подделать SAML-ответ, войти в систему под любым пользователем, включая администратора, и получить полный контроль над сайтом.

Активная эксплуатация уже подтверждена: 16 августа компания DigitalOcean зафиксировала аномальную сессию администратора WordPress, исходящую из-за пределов доверенной сети, что привело к расследованию. Сообщается, что попытки атак исходят с шести IP-адресов в Европе, Африке и США, а в открытом доступе уже есть эксплойт для бесплатной версии плагина.

Проблема усугубляется тем, что, хотя исправления были выпущены в июле, уведомление о них затрагивало только бесплатную версию. Пользователи платных версий не получили предупреждений в административной панели WordPress, поэтому многие сайты остаются уязвимыми.

Владельцам сайтов необходимо вручную обновить плагин до следующих исправленных версий в зависимости от редакции: 5.4.5 (бесплатная), 13.0.4 (премиум для одного сайта) и другие.

Упомянутый сервис

WordPress Система управления содержимым сайта с открытым исходным кодом, Позволяет создавать простые блоги и сложные новостные проекты и интернет-магазины. Доступны темы и плагины.

Система управления содержимым сайта с открытым исходным кодом, Позволяет создавать простые блоги и сложные новостные проекты и интернет-магазины. Доступны темы и плагины.