Aktive Angriffe auf miniOrange SAML SSO gefährden WordPress-Seiten
Seit mindestens 16. August 2026 nutzen Angreifer zwei Schwachstellen im weit verbreiteten miniOrange SAML 2.0 Single Sign-On Plugin für WordPress aus. Eine fehlerhafte Signaturprüfung erlaubt Angreifern, sich per manipulierter SAMLResponse als beliebiger Nutzer inklusive Administrator anzumelden. Ein öffentlicher Proof of Concept macht die Lage dringlich. Betroffene Editionen müssen umgehend manuell patchen, da für Premium-Versionen kein automatisches Update existiert.
Wer das Plugin miniOrange SAML 2.0 Single Sign-On auf einer WordPress-Seite einsetzt, sollte jetzt umgehend die installierte Edition prüfen und den passenden Fixstand einspielen. Seit mindestens 16. August 2026 laufen aktive Angriffswellen gegen zwei Schwachstellen in diesem Plugin, für die zudem ein öffentlicher Proof of Concept kursiert. Wer eine der Premium-Editionen nutzt, muss zwingend manuell patchen, denn dort greift kein automatisches Update von WordPress.
Die Dringlichkeit ergibt sich aus der Kombination beider Lücken. Eine fehlerhafte Rückgabewertprüfung erlaubt es Angreifern, sich mit einer präparierten SAMLResponse als beliebiger Nutzer anzumelden, einschließlich Administratorkonten. Admins sollten daher nicht nur patchen, sondern auch bestehende Logs, Benutzerkonten und Dateien auf Spuren einer bereits erfolgten Kompromittierung prüfen, bevor sie den Vorfall als erledigt betrachten.
Was ist passiert
Sicherheitsforscher und mehrere Fachmedien berichten übereinstimmend von aktiven Angriffen auf das miniOrange SAML 2.0 Single Sign-On Plugin für WordPress. Betroffen sind praktisch alle Editionen des Plugins, von der kostenlosen Free-Version bis zu den VIP-Stufen für Multisite-Installationen. Die Angreifer nutzen präparierte SAMLResponse-Nachrichten, um die Signaturprüfung des Plugins auszutricksen und sich ohne gültige Zugangsdaten anzumelden.
Da SAML SSO in vielen Installationen die zentrale Authentifizierungsentscheidung trifft, wirkt sich ein erfolgreicher Angriff direkt auf die gesamte Website aus. Ein Angreifer, der sich als Administrator anmeldet, hat vollen Zugriff auf Inhalte, Nutzerverwaltung und in der Regel auch auf Plugin- und Theme-Dateien, über die sich weitere Schadfunktionen einschleusen lassen. Beobachtet wurden bereits automatisierte Scan- und Angriffswellen, die gezielt nach verwundbaren Endpunkten des Plugins suchen.
Die zwei Schwachstellen im Detail
CVE-2026-61979 mit einem CVSS-Wert von 8.1 beruht auf einer Algorithmus-Verwechslung. Das Plugin akzeptiert eine SAMLResponse, die eigentlich mit RSA signiert sein sollte, auch dann als gültig, wenn sie stattdessen mit HMAC-SHA1 signiert wurde. Da der öffentliche RSA-Schlüssel bekannt oder leicht zu beschaffen ist, kann ein Angreifer ihn als HMAC-Geheimnis missbrauchen und damit eine scheinbar gültige Signatur fälschen. Dieses Muster ist als Algorithm-Confusion-Angriff bekannt und tritt immer wieder in Implementierungen auf, die Signaturprüfungen nicht strikt an den erwarteten Algorithmus binden.
Deutlich kritischer ist CVE-2026-15981 mit einem CVSS-Wert von 9.8. Hier liefert die PHP-Funktion openssl_verify bei einem internen Fehler den Rückgabewert -1 zurück. Das Plugin prüft diesen Rückgabewert jedoch nicht korrekt und wertet ihn fälschlich als wahr aus. Eine SAMLResponse mit ungültiger, fehlender oder manipulierter Signatur wird dadurch trotzdem als gültig akzeptiert. In Kombination lassen sich beide Lücken nutzen, um sich als beliebiger Benutzer einzuloggen, ganz ohne Kenntnis eines Passworts und ohne gültiges Identity-Provider-Zertifikat.
Betroffene Editionen und Fixstände
miniOrange bietet das SAML-Plugin in mehreren Editionen an, die jeweils eigene Versionszählungen und damit eigene Fixstände haben. Wer unsicher ist, welche Edition installiert ist, findet die Angabe im Plugin-Bereich des WordPress-Backends unter den Plugin-Details. Die folgende Tabelle listet alle betroffenen Editionen mit der jeweils ersten sicheren Version.
| Edition | Fixstand |
|---|---|
| Free | 5.4.5 |
| Premium Single Site | 13.0.4 |
| Standard | 17.0.6 |
| Multisite Premium/Enterprise/All-Inclusive | 20.2.8 |
| Enterprise/All-Inclusive Single Site | 26.0.3 |
| VIP Single | 32.0.8 |
| VIP Multisite | 35.0.7 |
Wichtig: Alle Editionen teilen sich denselben Plugin-Slug im WordPress-Verzeichnis, unterscheiden sich aber in der Versionszählung. Ein Blick auf die reine Versionsnummer reicht deshalb nicht aus, es muss immer die konkrete Edition berücksichtigt werden.
Indikatoren für eine Kompromittierung
Wer prüfen will, ob bereits Angriffsversuche stattgefunden haben, sollte Zugriffs- und SAML-Logs auf folgende IP-Adressen durchsuchen, die im Zusammenhang mit den aktuellen Angriffswellen aufgefallen sind:
- 207.211.214.41
- 79.127.224.14
- 102.91.71.83
- 162.243.116.148
- 84.201.6.54
- 64.225.25.188
Treffer allein belegen noch keinen erfolgreichen Einbruch, sind aber ein klares Signal, die betroffene Installation genauer zu untersuchen. Auffällig sind insbesondere SAMLResponse-Anfragen außerhalb der üblichen Login-Zeiten sowie neu angelegte Administratorkonten, die nicht dem bekannten Team zugeordnet werden können.
Sofortmaßnahmen für Betreiber
Aus den Erkenntnissen von Patchstack und weiteren Quellen lassen sich folgende Schritte ableiten, die WordPress-Betreiber mit installiertem miniOrange SAML Plugin jetzt umsetzen sollten:
- Installierte Edition und Version im Plugin-Bereich identifizieren
- Passenden Fixstand aus der Tabelle manuell einspielen
- Bei Premium-Editionen nicht auf automatische Updates verlassen
- Admin- und SAML-Logs auf die genannten IOC-IP-Adressen prüfen
- Liste der Benutzerkonten auf unbekannte Administratoren kontrollieren
- Plugin- und Theme-Verzeichnisse auf unbekannte oder veränderte Dateien prüfen
- Bestehende Sitzungen und Login-Cookies zurücksetzen
- Bei Verdacht auf Kompromittierung sämtliche Secrets und API-Schlüssel rotieren
Da bereits ein öffentlicher Proof of Concept existiert, ist mit weiteren automatisierten Angriffswellen zu rechnen. Ein zeitnahes Update auf den passenden Fixstand ist die wirksamste Einzelmaßnahme gegen beide Schwachstellen.
Passende Anleitungen auf S-EDV
Quellen
Weiterführende Hintergründe zu ähnlichen Vorfällen und zum Umgang mit kompromittierten WordPress-Installationen finden sich in der WordPress-Kategorie von S-EDV sowie im Bericht zur Admin-Übernahme durch die WP Maps Pro Schwachstelle CVE-2026-8732, die einem vergleichbaren Angriffsmuster mit ähnlich schwerwiegenden Folgen für betroffene Seiten folgte. Weitere technische Details und Hintergründe liefern The Hacker News, BleepingComputer sowie die ausführliche Analyse von Patchstack. Der offizielle Eintrag zu CVE-2026-15981 ist beim CVE-Programm unter cve.org einsehbar und enthält weitere Details zur technischen Klassifizierung der Schwachstelle sowie Verweise auf die zugrunde liegenden Advisories der Hersteller und Sicherheitsforscher.
