CyberSecurityAction

脆弱性情報

WordPress SAML SSOプラグインminiOrangeに管理者権限バイパス—PoC公開済みで悪用進行中

WordPressのSAML SSOプラグインminiOrangeに2件の認証バイパス脆弱性（CVE-2026-61979/15981）。SAMLレスポンスを偽造して管理者として不正ログイン可能。PoC公開済みで悪用進行中。有料版は管理画面に更新通知なし、手動適用が必須。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
WordPress SAML SSOプラグインminiOrangeに管理者権限バイパス—PoC公開済みで悪用進行中

THREAT GAUGE算出基準

IMPACT（影響範囲）7.5
URGENCY（対応緊急度）8.5
EXPLOIT（悪用の容易さ）8.5

“PoC公開済み・悪用進行中・管理者権限バイパス・有料版は自動通知なし”

01 · Overview

ニュースの概要

2026年8月24日、WordPressのminiOrange SAML 2.0 Single Sign Onプラグインに存在する2件の認証バイパス脆弱性（CVE-2026-61979、CVE-2026-15981）が積極的に悪用されていることが明らかになった。攻撃者はこれらを組み合わせてSAMLレスポンスを偽造し、WordPress管理者として不正にログインできる。有料版7エディションはWordPress管理ダッシュボードに更新通知が表示されないため、多くのサイトが未パッチ状態のまま放置されている可能性が高く、手動での即時更新が必要である。

miniOrange SAML SSOプラグインはMicrosoft Entra ID、Okta、Google Workspace等の企業向けIDPとWordPressを連携させるSAML認証プラグインである。Xecurify社が提供するこのプラグインには無料版・有料版を含む7つのエディションが存在し、無料版だけで1万ダウンロード、合計3万カスタマーを抱える広く利用されたツールである。

CVE-2026-61979はプラグインがSAMLレスポンスの署名アルゴリズムをレスポンス自体から受け取ってしまう点に起因する。攻撃者はHMAC-SHA1を指定することでプラグインにIDPのRSA公開鍵をHMAC共有秘密として扱わせ、公開鍵は既知であるため有効な署名を偽造できる。CVE-2026-15981はOpenSSLの検証結果の-1（エラー）を成功として扱う実装ミスであり、不正な署名が検証を通過する。

2件の脆弱性は2026年7月に修正版がリリースされているが、ベンダーは無料版のアドバイザリのみを公開し、6つの有料版への告知が行われなかった。Patchstackの調査によると、2026年8月16日にDigitalOceanが信頼されていないネットワーク発信の異常なWordPress管理者セッションを検出した。調査の結果、攻撃者が2件の脆弱性をチェーンしてStandardエディション（バージョン16.1.9）から管理者セッションクッキーを取得していたことが判明した。

現在は欧州・アフリカ・米国の6つのIPアドレスからスキャンおよび悪用試行が継続している。無料版向けのPoC（概念実証コード）も公開済みであり、これが有料版の攻撃に転用される可能性があることから、早急な対応が求められる。

CVE番号
CVE-2026-61979 / CVE-2026-15981
影響製品
miniOrange SAML 2.0 SSO 全7エディション
修正状況
エディション別修正版あり（手動適用要）
悪用状況
積極的悪用中・PoC公開済み
被影響規模
30,000カスタマー（7エディション合計）

BleepingComputerおよびPatchstackの報告をもとに構成。CVSSスコアは本稿執筆時点でNVDに未掲載。調査継続中。

02 · Analysis

詳細な原因解説

CVE-2026-61979の根本原因は、SAMLプロトコルの実装において署名アルゴリズムをレスポンス自体から取得することにある。適切な実装ではサービスプロバイダ（SP）側で設定したアルゴリズムのみを使用して署名検証を行わなければならない。しかし本プラグインは受信したアルゴリズム指定（HMAC-SHA1等）をそのまま受理するため、攻撃者はHMAC-SHA1を指定してIDPのRSA公開鍵を対称鍵として偽造した署名を持つSAMLレスポンスを送信できる。RSA公開鍵はSAMLメタデータとして一般に公開されているため、攻撃者はこれを署名鍵として有効な偽造レスポンスを生成可能である。

CVE-2026-15981はOpenSSLの署名検証関数の戻り値取り扱いミスに起因する。OpenSSLの検証APIは成功時に1、失敗時に0、エラー時に-1を返す。本プラグインは0（失敗）のみを明示的に拒否し、-1（OpenSSLエラー）を成功と誤って解釈する実装となっていた。攻撃者が意図的にOpenSSLエラーを引き起こす不正な署名を送信することで、署名検証を迂回できる。

2件の脆弱性を組み合わせることでSAML認証全体が無効化される。攻撃者はSAMLレスポンスに任意のNameID（WordPress管理者アカウントのユーザー名等）を指定することで、認証システムを完全にバイパスして管理者としてログインできる。また7つのエディションが同一コードベースを共有するにもかかわらずアドバイザリが無料版のみを対象としたため、有料版利用者への告知が遅延し、攻撃機会を拡大した。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

攻撃者のアルゴリズム指定を守備側視点で逆用

Q. なぜSAML実装でアルゴリズム選択をクライアント側に委ねることが致命的なのか？

CVE-2026-61979はSAML署名検証の前提（アルゴリズムは固定）を破るSUBSTITUTE（代替）型の脆弱性である。守備側はこの発想を逆用し、外部入力の全フィールドに対して「攻撃者がこの値を変更したら何が起こるか」という視点でのコードレビュー（特に暗号処理周辺）を徹底すべきである。署名検証ではSP側で使用アルゴリズムを固定し、受信したアルゴリズム指定を一切受け付けない設計が正解である。

多エディション構成が生む告知の構造的断絶

Q. 同一コードベースの複数エディションが告知の抜け漏れを構造的に生み出すのはなぜか？

同一コードを無料・有料で複数エディションに分割している場合、脆弱性告知が無料版のみに行われても有料版のユーザーには情報が届かない。さらにWordPressの有料プラグインは自動更新通知の仕組みが異なるため、パッチ配布の経路から外れた利用者が発生する。このような多エディション展開製品では、脆弱性管理担当者がベンダーのアドバイザリを全エディション分をカバーして収集する仕組みとプロアクティブな通知経路の確保が不可欠である。

告知が届かない有料版利用者のための能動的更新対策

本件の核心は「ベンダーからの更新通知が届かない」点にある。WordPress管理者は定期的に利用中の全プラグイン（特に有料版）のバージョンをベンダーサイトで手動確認する運用が不可欠である。WP-CLIやWordfence等のツールを使ったインベントリ管理と定期スキャンを運用に組み込むことを推奨する。

PoCが無料版向けに公開されており、スキャナーがこれを実装して有料版への攻撃に転用している可能性がある。既に悪用試行が進行中である以上、パッチ未適用のサイトは侵害済みの前提で調査を進めること。ログ調査と並行してパッチを適用し、侵害の痕跡が見つかった場合はパスワードリセット・セッション無効化・サイト全体のセキュリティスキャンを実施する。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]（業種：[業種]）のWordPressサイト運営者です。利用中のminiOrange SAMLプラグインのエディションは[エディション名]、バージョンは[バージョン]です。CVE-2026-61979およびCVE-2026-15981への対応として、①現在の侵害有無を確認するログ調査手順、②エディション別の正確なパッチ適用手順、③再発防止のためのSAML設定強化策を教えてください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自組織の名称

自組織の業種

使用するminiOrangeエディション名

現在インストール中のプラグインバージョン

キーワード

  • miniOrange
  • WordPress SAML SSO
  • CVE-2026-61979
  • 認証バイパス
  • SAML偽造

SOURCES · 参考情報源