WordPress向けminiOrange SAML SSOに認証バイパス2件、管理者乗っ取り可能　サイバー攻撃への試行も確認(CVE-2026-15981,CVE-2026-61979)

WordPress向けプラグイン「SAML Single Sign On – SSO Login（miniOrange SAML SSO）」に、認証なしで任意の既存ユーザーとしてログインできる2件の脆弱性が確認され、実環境での悪用試行も報告されています。

脆弱性はCVE-2026-61979とCVE-2026-15981で、いずれもSAML署名の検証処理に関係します。悪用された場合、攻撃者はWordPress管理者を含む既存アカウントとして認証を成立させ、管理者セッションを取得できる可能性があります。

一次調査を公表したPatchstackによると、DigitalOceanのセキュリティチームは2026年8月16日、信頼済みネットワーク外から発生した異常なWordPress管理者セッションを検知・遮断しました。調査では、攻撃者が認証バイパスを利用して管理者セッションCookieを取得していたことが確認されています。

また、本プラグインは1つのWordPress.org上のslugの下で、無償版を含む7つのエディションが別々のバージョン体系で提供されています。公開済みの脆弱性情報が当初無償版だけを対象としていたため、有償版が実際には脆弱でも、脆弱性管理ツール上では「修正済み」と誤認される可能性がありました。

miniOrange SAML SSO脆弱性のサマリー

• 確認済み：WordPress向け「SAML Single Sign On – SSO Login」にCVE-2026-61979とCVE-2026-15981の2件の認証バイパス脆弱性が確認されています。
• 確認済み：いずれも認証前の第三者による悪用が可能で、既存のWordPressユーザー、管理者を含むアカウントとしてログインできる可能性があります。
• 確認済み：CVE-2026-61979はSAML署名アルゴリズムの扱いに起因し、Patchstack CNAのCVSS v3.1評価は8.1（High）です。
• 確認済み：CVE-2026-15981はOpenSSLの署名検証結果の扱いに起因し、Wordfence CNAのCVSS v3.1評価は9.8（Critical）です。
• 注意点：CyberPressは2件ともCVSS 9.8と報じていますが、一次情報のCVEレコードではCVE-2026-61979は8.1です。
• 確認済み：無償版では、CVE-2026-61979は5.4.4で修正、CVE-2026-15981は5.4.5で修正されています。
• 確認済み：WordPress.orgの現在の無償版は5.4.7で、アクティブインストール数は1万件以上です。
• 確認済み：有償版を含む7エディションは別々のバージョン体系を使用しており、最終的な修正版もエディションごとに異なります。
• 確認済み：DigitalOceanは2026年8月16日、認証バイパスを利用した管理者セッション取得の試行を検知・遮断しました。
• 確認済み：Patchstackは複数地域のIPアドレスからminiOrange SSOエンドポイントへのスキャンを観測し、標的型よりも機会的な探索活動の可能性を指摘しています。
• 確認済み：無償版を対象とする公開PoCが存在します。
• CISA KEV：2026年8月25日時点で、CVE-2026-61979とCVE-2026-15981はいずれもCISA KEVへの掲載を確認できませんでした。
• 注意点：Patchstackの脆弱性DBには「Known to be exploited」と表示されていますが、これはCISA KEV掲載を意味しません。
• 確認済み：CVE-2026-15013はPatchstackによるとCVE-2026-61979の重複CVEです。

項目	CVE-2026-61979	CVE-2026-15981
種別	認証バイパス／権限昇格	認証バイパス
主な原因	SAML署名アルゴリズムの混同	OpenSSL署名検証結果の不適切な判定
認証	不要	不要
ユーザー操作	不要	不要
影響	既存ユーザー、管理者としてのログイン	既存ユーザー、管理者としてのログイン
CVSS v3.1	8.1 High（Patchstack CNA）	9.8 Critical（Wordfence CNA）
無償版の影響	5.4.3以下	5.4.4以下
無償版の修正	5.4.4	5.4.5
PoC	公開情報あり	公開情報あり
実悪用	Patchstack/DigitalOceanが悪用試行を確認	Patchstack/DigitalOceanが悪用試行を確認
CISA KEV	8月25日時点で掲載確認できず	8月25日時点で掲載確認できず

miniOrange SAML SSOはWordPressをSAMLのService Providerにするプラグイン

「SAML Single Sign On – SSO Login」は、miniOrangeが提供するWordPress向けSAML SSOプラグインです。

WordPressをSAML 2.0のService Provider（SP）として動作させ、Microsoft Entra ID、Okta、Google Workspace、Keycloak、Salesforce、OneLogin、ADFSなどのIdentity Provider（IdP）を利用してWordPressへログインできるようにします。

WordPress.orgの公式ページでは、2026年8月25日時点の無償版は5.4.7で、アクティブインストール数は1万件以上です。

今回の脆弱性は、WordPress本体やSAMLプロトコルそのものではなく、miniOrange SAML SSOプラグイン内のSAML署名検証実装に存在します。

CVE-2026-61979、SAML署名アルゴリズムの扱いに不備

CVE-2026-61979は、SAMLレスポンスで指定された署名アルゴリズムをプラグイン側が適切に制限しないことに起因する認証バイパスです。

DigitalOceanによる根本原因分析を公開したPatchstackによると、攻撃者が制御できるSAMLレスポンス側の署名方式をプラグインが受け入れることで、本来は非対称暗号の公開鍵として扱うべきIdPのRSA公開鍵が、別方式の署名検証で不適切に利用される状態が生じます。

その結果、正規のIdPが発行していないSAMLアサーションを正当なものとして受け入れ、既存のWordPressアカウントとして認証が成立する可能性があります。

本記事では、署名偽造に利用できる具体的なパラメータや再現手順は掲載しません。

PatchstackのCVE CNAレコードでは、CVE-2026-61979のCVSS v3.1は8.1（High）です。攻撃元はネットワーク、認証不要、ユーザー操作不要ですが、攻撃条件はHighと評価されています。

無償版では5.4.3以下が影響を受け、5.4.4で修正されています。WordPress.orgの変更履歴でも、5.4.4について「安全でない署名アルゴリズムのサポートを削除」と記載されています。

なお、PatchstackはCVE-2026-15013について、CVE-2026-61979と同一の問題を扱う重複CVEであると明記しています。

CVE-2026-15981、OpenSSLの「エラー」を署名成功として処理

CVE-2026-15981は、署名検証に利用するPHP/OpenSSLの戻り値を適切に評価していなかった問題です。

OpenSSLの署名検証関数は、署名が正しい場合、正しくない場合、処理自体がエラーになった場合で異なる値を返します。

ところがminiOrange SAML SSOでは、エラー時の戻り値を厳密に判定せず、PHPの真偽値として評価していたため、署名検証でエラーが発生した場合にも「検証成功」と扱われる経路が存在しました。

Wordfenceが割り当てたCVEレコードでは、認証を持たない攻撃者が既存のWordPressユーザーを指定した不正なSAMLレスポンスを送ることで、対象アカウントの認証Cookieを取得できる可能性があると説明されています。

CVE-2026-15981のCVSS v3.1は9.8（Critical）で、攻撃元はネットワーク、攻撃条件Low、認証不要、ユーザー操作不要です。

無償版では5.4.4以下が影響を受け、5.4.5で修正されています。WordPress.orgの変更履歴でも5.4.5は「SAML SSOの不正アクセス問題を修正」と記載されています。

報道の「2件ともCVSS 9.8」と一次情報に差

CyberPressは8月25日付の記事で、CVE-2026-61979とCVE-2026-15981について「CVSS 9.8」と報じています。

一方、一次情報を照合すると評価は一致していません。

CVE-2026-15981はWordfence CNAのCVSS v3.1で9.8です。

これに対し、CVE-2026-61979はPatchstackがCNAとして公開した脆弱性DBおよびCVEレコードでCVSS v3.1 8.1と評価されています。

Patchstackが8月21日に公開した解説記事の冒頭には2件を「CVSS 9.8」とする表現もありますが、同社自身の脆弱性DBとCNAレコードではCVE-2026-61979は8.1です。

このため本記事では、CVEごとのCNA評価を採用し、CVE-2026-61979を8.1、CVE-2026-15981を9.8として整理します。

実環境で悪用試行、管理者セッションCookie取得をDigitalOceanが検知

今回の問題はPoC公開だけにとどまりません。

Patchstackによると、DigitalOceanのセキュリティチームは8月16日、自社インフラ上で信頼済みネットワーク外から発生した異常なWordPress管理者セッションを検知し、遮断しました。

調査では、攻撃者が認証バイパスを利用してWordPress管理者のセッションCookieをすでに取得していたことが確認されています。

一方、DigitalOceanではWordPress管理画面の操作自体を信頼済みネットワークに制限していたため、その後の管理操作は防止できました。

この事例は「脆弱性が存在することを研究環境で再現した」だけではなく、実環境への悪用試行が確認されたものです。

Patchstackはさらに、欧州、米国、アフリカなど複数地域のVPN、データセンター、VPS、モバイル回線からminiOrange SSO関連エンドポイントへのスキャンを観測しています。

同社は分散した送信元から、特定の組織を狙う攻撃というより、プラグインを利用するサイトを広く探す機会的な探索活動の可能性を指摘しています。

ただし、観測されたすべてのスキャンが実際の管理者アカウント乗っ取りに成功したことを意味するものではありません。

1つのslugで7エディション、脆弱性DBが有償版を見逃す問題

今回の事案で特徴的なのが、脆弱性そのものだけでなく、プラグインのバージョン管理方法です。

miniOrange SAML SSOは、WordPress上では同じminiorange-saml-20-single-sign-onというslugを利用しながら、無償版を含む7つのエディションを別々のバージョン系列で提供しています。

PatchstackがminiOrangeから取得した情報では、最終的に両脆弱性が修正されるバージョンは次のとおりです。

エディション	両脆弱性の影響を受ける最終版	両脆弱性が修正された版
Free（single site）	5.4.4	5.4.5
Premium（single site）	13.0.3	13.0.4
Standard（single site）	17.0.5	17.0.6
Premium / Enterprise / All-Inclusive（multisite）	20.2.7	20.2.8
Enterprise / All-Inclusive（single site）	26.0.2	26.0.3
VIP（single site）	32.0.7	32.0.8
VIP（multisite）	35.0.6	35.0.7

公開された当初の脆弱性情報はWordPress.orgから取得できる無償版を基準としており、「5.4.4以下が脆弱、5.4.5で修正」という情報だけが一般の脆弱性DBに登録されていました。

しかし、有償版は13.x、17.x、20.x、26.xなど、無償版より大きなバージョン番号を使います。

そのため、単純に「5.4.5より大きいから修正済み」と評価する脆弱性管理ツールでは、実際には脆弱なStandard 16.1.9などを「影響なし」と誤判定する問題が生じました。

Patchstackによると、有償版の影響範囲は8月18日にminiOrangeから完全なバージョン表が提供されるまで、公的な脆弱性DBには反映されていませんでした。

Standard 16.1.9で2件を再現、17.0.6への更新が必要

DigitalOceanは、実際に攻撃を受けた環境で利用されていたStandard edition 16.1.9を使い、2件の認証バイパスを再現しました。

根本原因分析の結果、Standard editionではCVE-2026-61979が17.0.5で修正され、CVE-2026-15981が17.0.6で修正されていたことが確認されています。

つまりStandard editionについては、両方の問題を解消するには17.0.6以降が必要です。

Patchstackは16.x系列に修正版が提供される予定はなく、17.xへ更新する必要があるとしています。

有償版はWordPress管理画面に更新通知が出ない場合も

Patchstackは、脆弱な有償版を使用していても、WordPress管理画面上で修正版への更新通知が表示されない場合があると注意しています。

特にStandard 16.xの一部では、17.xへの自動更新通知が表示されず、修正版を手動アップロードする必要があります。

このため、WordPress管理画面に「更新なし」と表示されていることだけで、安全と判断するのは危険です。

管理者は、インストールしているminiOrange SAML SSOのエディション名と現在のバージョンを確認し、上記のエディション別修正版と照合する必要があります。

公開PoCあり、CISA KEVには8月25日時点で未掲載

Patchstackによると、無償版を対象とした公開PoCがGitHub上に存在します。

本記事では、認証バイパスを再現する具体的なSAMLレスポンス、署名値、攻撃コード、手順は掲載しません。

一方、CISAのKnown Exploited Vulnerabilities（KEV） Catalogについて、8月25日時点の公式データミラーを確認したところ、CVE-2026-61979とCVE-2026-15981はいずれも掲載を確認できませんでした。

Patchstackの脆弱性データベースにはCVE-2026-61979について「Known to be exploited」と表示されていますが、これはPatchstack側で実悪用が確認されていることを示すもので、CISA KEVへの掲載を意味しません。

今回の2件は実悪用試行とPoCの双方が確認されているため、KEV掲載の有無にかかわらず優先的な更新対象と考える必要があります。

情報システム部門・Web管理者への示唆

今回の事案では、脆弱性の深刻度だけでなく「同じ製品名でもエディションによってバージョン体系が異なる」という資産管理上の問題が表面化しました。

脆弱性管理では、WordPressプラグイン名とバージョン番号だけでなく、Free、Standard、Enterprise、VIPなど具体的なエディションまで資産台帳に記録する必要があります。

特に商用プラグインでは、WordPress.orgに掲載される無償版と有償版の更新経路が異なり、WordPress管理画面の自動更新通知だけでは修正版を把握できない場合があります。ベンダーポータルや保守契約に紐付く更新情報も確認対象にする必要があります。

また、DigitalOceanが最終的な管理画面操作を止められた要因は、認証処理とは別に管理画面への接続元を制限していたことです。

SSOを導入しているからといって認証層だけに依存せず、WordPress管理画面へのアクセス制限、多要素認証、WAF、異常な管理者セッションの監視、管理者アカウントの最小化などを重ねることが重要です。

すでに影響バージョンを運用していた場合は、更新だけで終わらせず、WordPressの認証ログやWebアクセスログを確認し、通常と異なるネットワークからの管理者ログイン、見覚えのない管理者セッション、プラグインやテーマの変更、新規ユーザー作成などがないか調査する必要があります。

セキュリティ対策Labでは、WordPressプラグインの認証バイパスが公開直後から悪用された別事例として「WordPressで人気のプラグインの脆弱性が公開僅か90分でサイバー攻撃に悪用」も取り上げています。

出典

• One slug, seven editions: the miniOrange SAML SSO bug that let anyone log in as your WordPress admin – Patchstack
• WordPress SAML SP Single Sign On Plugin <= 5.4.3 – Privilege Escalation / CVE-2026-61979 – Patchstack
• CVE-2026-15981 – National Vulnerability Database
• SAML Single Sign On – SSO Login – WordPress.org
• Known Exploited Vulnerabilities data mirror – CISA
• Critical WordPress SAML SSO Flaws Enable Unauthenticated Admin Account Takeover – CyberPress
• WordPressで人気のプラグインの脆弱性が公開僅か90分でサイバー攻撃に悪用 – セキュリティ対策Lab