Cibercriminosos já estão tentando explorar duas brechas graves de bypass de autenticação, ambas sem necessidade de credenciais, no plugin Xecurify miniOrange SAML 2.0 Single Sign On, usado para integração de login único em ambientes WordPress. Segundo a empresa de segurança Patchstack, as vulnerabilidades permitem que um invasor entre na plataforma como qualquer usuário cadastrado, inclusive administradores com privilégios totais sobre o site.
A falha principal, catalogada como CVE-2026-15981, está na função mo_saml_validate_signature(), que faz uma verificação booleana fraca sobre o retorno da função openssl_verify() do PHP. O problema é que, quando essa função retorna o valor de erro -1, o código o interpreta incorretamente como verdadeiro, validando uma assinatura que na verdade falhou na verificação criptográfica. Em termos práticos, um invasor pode enviar uma SAMLResponse manipulada, contendo um NameID controlado pelo atacante e uma assinatura propositalmente malformada que dispara um erro no OpenSSL, conseguindo assim passar pela validação e acionar a função wp_set_auth_cookie() para a conta que desejar.
A Patchstack atribui a descoberta das falhas à equipe de segurança da DigitalOcean. A empresa de infraestrutura em nuvem percebeu a atividade anômala ao detectar uma tentativa de sessão administrativa no WordPress vinda de fora da sua rede confiável. Naquele momento, o atacante já havia usado o bypass para conseguir o cookie de sessão de administrador, mas foi barrado porque as operações no painel administrativo estavam restritas ao acesso pela rede interna.
Campanha de varredura em massa
Os ataques em andamento estão partindo de diversos endereços IP, o que sugere uma varredura oportunista em vez de uma campanha direcionada contra alvos específicos. De acordo com a Patchstack, os operadores por trás dos ataques parecem estar disparando o exploit em qualquer site que tenha o plugin instalado, sem nem mesmo verificar qual edição ou versão está rodando.
Risco elevado para administradores
A gravidade do problema é amplificada pela disponibilidade de um código de prova de conceito (PoC) que permite encadear as duas brechas para obter privilégios administrativos completos. Com isso, invasores podem assumir o controle de sites vulneráveis, alterar configurações, injetar conteúdo malicioso e criar contas persistentes.
Administradores de sites WordPress que utilizam o plugin miniOrange SAML SSO devem aplicar as correções mais recentes disponibilizadas pelo desenvolvedor com urgência, já que a exploração não exige nenhum tipo de autenticação prévia e pode ser automatizada em larga escala contra qualquer site com o plugin ativo.
Com informações de: The Hacker News