Divulguées en août 2026 par Patchstack et signalées par DigitalOcean, ces vulnérabilités permettent à des attaquants non authentifiés de contourner l’authentification et d’accéder aux privilèges d’administrateur sur les sites vulnérables.
Les détails techniques des CVE-2026-61979 et CVE-2026-15981
Les deux vulnérabilités affectant le plugin miniOrange SAML 2.0 Single Sign-On ouvrent la voie à une prise de contrôle totale des sites WordPress ciblés. La première faille, enregistrée sous l’identifiant CVE-2026-61979 et affichant un score CVSS de 8.1, découle d’une confusion dans l’algorithme de signature. Le plugin permettait à une réponse SAML entrante de choisir la méthode HMAC-SHA1 et traitait à tort une clé publique RSA de confiance comme un secret HMAC, permettant ainsi à un acteur malveillant de forger une assertion valide.
La seconde faille, beaucoup plus critique avec un score CVSS de 9.8, porte la référence CVE-2026-15981. Elle réside dans une mauvaise gestion des valeurs de retour de la fonction PHP openssl_verify()
. Selon les descriptions officielles de la vulnérabilité, cette fonction renvoie 1 pour une signature valide, 0 pour une signature invalide, et -1 en cas d’erreur de traitement OpenSSL.
En raison de cette vérification booléenne trop souple, PHP interprète la valeur -1 comme vraie. Les attaquants peuvent ainsi soumettre une réponse SAML contrefaite contenant un identifiant NameID contrôlé par l’adversaire et une signature délibérément malformée qui déclenche une erreur OpenSSL. La signature est alors validée à tort, ce qui provoque l’appel de la fonction wp_set_auth_cookie()
pour le compte visé.
L’alerte de DigitalOcean et la nature des attaques
La découverte de ces failles revient à l’équipe de sécurité de l’entreprise d’infrastructure cloud DigitalOcean. Les chercheurs ont observé une tentative de connexion suspecte à un panneau d’administration WordPress provenant d’une source extérieure à leur réseau de confiance. Comme l’explique Patchstack, l’attaquant était parvenu à obtenir un cookie de session administrateur via le contournement, mais s’est retrouvé bloqué car les opérations du panneau d’administration étaient strictement restreintes derrière un périmètre réseau sécurisé.
Les investigations menées par Patchstack montrent que les scans et les tentatives d’exploitation proviennent de plusieurs adresses IP, notamment 207.211.214.41, 79.127.224.14, 102.91.71.83, 162.243.116.148, 84.201.6.54 et 64.225.25.188. Ce comportement indique une campagne opportuniste de grande ampleur plutôt qu’une offensive ciblée contre une organisation spécifique. Selon les analyses, les scripts malveillants testent les exploits sur l’ensemble des sites équipés du plugin, sans vérifier au préalable quelle édition ou version exacte se trouve installée.
La complexité des éditions payantes et la difficulté des correctifs
L’un des principaux obstacles à la sécurisation des sites réside dans le modèle de distribution du plugin. Sous l’unique slug WordPress miniorange-saml-20-single-sign-on
, le fournisseur commercialise et distribue sept éditions aux versions indépendantes. Alors que les alertes publiques initiales visaient la version gratuite (corrigée dès la version 5.4.5), les éditions payantes utilisaient des plages de numérotation totalement différentes, telles que les branches 13.x, 16.x, 20.x, 26.x, 32.x et 35.x.
Cette fragmentation a induit en erreur de nombreux scanners de vulnérabilités et gestionnaires de parcs informatiques, qui considéraient à tort les installations comme étant à jour. Par exemple, une instance de l’édition Standard fonctionnant sous la version 16.1.9 pouvait paraître inattaquable face aux bases de données de vulnérabilités publiques. Les experts soulignent que les administrateurs ne doivent pas s’en remettre uniquement au tableau de bord de WordPress pour appliquer les correctifs, car les versions 16.x standardisées ne déclenchent pas toujours de notification de mise à jour automatique vers les branches 17.x.
| Édition du Plugin | Version Vulnérable | Version Corrective | CVE Corrigée |
|---|---|---|---|
| Édition Standard | 16.x et antérieures | Version 17.0.5 | CVE-2026-61979 |
| Édition Standard | 16.x et antérieures | Version 17.0.6 | CVE-2026-15981 |
Face à la disponibilité de codes de preuve de concept (PoC) permettant d’enchaîner ces failles, les éditeurs de sécurité recommandent aux gestionnaires de sites de vérifier manuellement leur version exacte, de procéder à un téléchargement direct du correctif si nécessaire, de contrôler les journaux d’authentification des administrateurs et de rechercher toute session anormale issue de réseaux non vérifiés.