OWN NEWS GATHER
← 戻る
The Hacker News

WordPressの「miniOrange SAML SSO」プラグインに深刻な認証回避の脆弱性、管理者奪取を狙うスキャン攻撃が確認される

要点

  • WordPressプラグイン「miniOrange SAML 2.0 Single Sign On」に、未認証の攻撃者が管理者を含む任意のユーザーとしてログイン可能になる2件の深刻な脆弱性が判明した。

  • PHP関数のエラー戻り値を誤判定する不具合（CVE-2026-15981、CVSS 9.8）などにより、不正な形式の署名を含む認証データを送信するだけで検証をすり抜けられる状態になっていた。

  • クラウドインフラ大手のDigitalOceanが外部からの不審な管理者アクセス試行を検知したことで問題が発覚し、セキュリティ企業Patchstackが詳細を報告した。

  • 脆弱性を悪用する実証コード（PoC）が公開されており、複数のIPアドレスからプラグイン導入サイトを狙った無差別なスキャン攻撃が観測されている。

  • これらの不具合はStandardエディションのバージョン17.0.5および17.0.6ですでに修正されており、サイト管理者に対して速やかな更新が呼びかけられている。

  • WordPressサイトでシングルサインオン（1度のログインで複数のWebサービスを利用できる仕組み）を実現する人気プラグイン「miniOrange SAML 2.0 Single Sign On」において、外部から認証を回避して管理者権限を不正取得できる重大な脆弱性が存在することが明らかになった。

  • WordPress向けセキュリティ企業のPatchstackが2026年8月25日に公開した調査結果によると、すでにこの脆弱性を悪用した攻撃の試みが複数のIPアドレスから観測されているという。本件はクラウドインフラプロバイダーのDigitalOceanが異常なアクセスを検知し、セキュリティチームへ報告したことで発覚した。

判明した2件の脆弱性と深刻度

Patchstackが公開した情報によると、悪用が試みられているのは以下の2件の脆弱性である。

1件目は「CVE-2026-61979」（CVSSスコア：8.1）で、署名アルゴリズムの混同に起因する未認証の特権昇格の脆弱性だ。CVSSは脆弱性の深刻度を0から10の数値で評価する共通指標であり、8.1は高い深刻度を示している。この不具合はStandardエディションのバージョン17.0.5で修正された。

2件目は「CVE-2026-15981」（CVSSスコア：9.8）で、不正な形式の署名をプラグインが有効なものとして誤認してしまう認証バイパス（認証回避）の脆弱性である。こちらは極めて重大な危険性を持つ9.8と判定されており、Standardエディションのバージョン17.0.6で修正が行われた。

エラー値を「認証成功」と誤認する仕組み

CVE.orgに掲載された技術説明によると、CVE-2026-15981が発生した背景にはプログラム内における戻り値の判定処理の不備があったという。

具体的には、プラグイン内の署名検証関数 mo_saml_validate_signature() が、PHPの暗号検証関数 openssl_verify() が返す3値の整数（1: 成功、0: 失敗、-1: エラー）に対して厳密な型チェックを行わず、緩やかな真偽値判定（ルーズブールチェック）を行っていたことに起因する。この処理により、OpenSSL側でエラーが発生した際の戻り値「-1」がPHP上で真（truthy）として評価され、署名検証に成功したと誤って処理されていた。

この結果、認証を受けていない外部の攻撃者が、自身で制御可能なNameID（SAML認証でユーザーを識別する情報）と、OpenSSLの処理エラーを誘発する不正な署名値を含んだ細工済みの「SAMLResponse」を送信することで、署名検証を完全にすり抜けることが可能になっていた。検証を通過するとWordPressの認証Cookieを設定する関数 wp_set_auth_cookie() が実行されるため、管理者を含む任意の既存アカウントとしてログインできてしまう状態だったと報告されている。

DigitalOceanによる検知と防御

この脆弱性が明らかになった契機は、DigitalOceanにおける不審アクセスの検知だった。

同社のセキュリティチームが、信頼されたネットワーク外部からWordPress管理者のセッションを確立しようとする異常な試みを観測したことで調査が進められた。Patchstackによると、攻撃者は認証回避の手法を用いてすでにWordPress管理者のセッションCookieを取得していたものの、DigitalOceanの環境では管理パネルへの操作自体が信頼されたネットワーク内に制限されていたため、侵入の試みはそこで阻止されたとしている。

無差別スキャンの発生とアップデートの推奨

Patchstackによると、現在この脆弱性を悪用しようとするスキャン活動が以下のIPアドレスから記録されている。

  • 207.211.214.41
  • 79.127.224.14
  • 102.91.71.83
  • 162.243.116.148
  • 84.201.6.54
  • 64.225.25.188

同社は「スキャンの広がり方から見て、特定の標的を狙った作戦ではなく、日和見的な無差別スキャンであると考えられる」と分析している。攻撃主体はプラグインのエディションやバージョンを判別することなく、プラグインがインストールされているあらゆるWebサイトに対して手当たり次第にエクスプロイト（攻撃コード）を送信している模様だという。

現在、これら2件の不具合を連鎖させて管理者権限を奪い、サイトを制御下に置く実証コード（PoC：概念実証プログラム）が利用可能な状態にあるとされている。そのため、該当するプラグインを使用しているWordPressサイトの管理者に対し、最新の修正版へ速やかにアップデートするよう注意が促されている。

元URL