Zwei kritische Schwachstellen im WordPress-Plugin MiniOrange SAML 2.0 Single Sign-On werden aktiv angegriffen. CVE-2026-61979 und CVE-2026-15981 sind Authentifizierungsumgehungen, die es Angreifern erlauben, sich als jeder beliebige WordPress-Nutzer einzuloggen — Administratorkonten eingeschlossen. Das geht aus einer Analyse hervor, die DigitalOcean gemeinsam mit dem Sicherheitsunternehmen Patchstack durchgeführt hat.
Das Plugin bringt Single-Sign-On-Funktionalität in WordPress-Installationen. Die kostenlose Ausgabe zählt mehr als 10.000 aktive Installationen. Darüber hinaus existieren mehrere kostenpflichtige sowie Enterprise-Editionen, für die keine Verbreitungszahlen veröffentlicht werden — die Zahl der tatsächlich betroffenen Seiten dürfte also höher liegen als die offizielle Statistik nahelegt.
Patchstack beobachtet Ausnutzungsversuche, ordnet sie aber nicht einer gezielten Kampagne zu, sondern beschreibt sie als opportunistisch. “Wer auch immer das betreibt, wirft den Exploit offenbar gegen jede Seite, auf der das Plugin installiert ist, ohne zu prüfen, welche Edition oder Version dahintersteckt”, so das Unternehmen.
Der eigentliche Kern des Problems liegt in der Kommunikation des Herstellers. Alle betroffenen Versionen des Plugins sind zwar gepatcht, doch die Entwickler haben ihre Nutzer nicht auf das Risiko hingewiesen. Lediglich für die kostenlose Edition existiert überhaupt ein Hinweis, der die Korrektur in Version 5.4.5 erwähnt — dort jedoch als Bugfix, nicht als Sicherheitsupdate deklariert.
Noch unübersichtlicher ist die Lage bei den kommerziellen Varianten: Deren Nutzer wurden nicht benachrichtigt, und weil dort ein anderes Versionsschema verwendet wird, lässt sich kaum erkennen, ob eine Website bereits abgesichert ist. Ein Update muss manuell eingespielt werden.
Genau diese Konstellation macht die Situation nach Einschätzung von Patchstack gefährlich: “Das ist exakt das Verhalten, das die Lage bei still eingespielten Patches so brisant macht. Der Angreifer muss nicht wissen, welche Edition Sie einsetzen — Sie müssen es wissen.” Da der Exploit unterschiedslos gegen alle erreichbaren Installationen geschossen wird, spielt es für die Angreifer keine Rolle, ob eine Seite die freie oder eine bezahlte Variante nutzt. Für Betreiber hingegen entscheidet gerade diese Information darüber, ob sie ihre Installation als verwundbar einstufen müssen.
SecurityWeek hat den Entwickler um eine Stellungnahme gebeten; eine Antwort lag zum Zeitpunkt der Veröffentlichung nicht vor.