miniOrange SAML SSO: Auth-Bypass macht jeden zum WordPress-Admin

Das miniOrange SAML SSO Plugin für WordPress hat ein Problem, das größer ist als die zwei Schwachstellen selbst. Erkannt wurden die Angriffsversuche auf zwei kritische Authentifizierungs-Umgehungen am 16. August 2026, öffentlich dokumentiert sind sie seit dem 21. August – und viele betroffene Seiten haben keine Chance, das über die üblichen Kanäle zu bemerken. Ihr WordPress-Dashboard meldet brav: alles aktuell.

Was bei miniOrange SAML SSO passiert ist

Das Plugin verwandelt eine WordPress-Installation in einen SAML-Service-Provider. Die Anmeldung läuft dann nicht mehr über ein eigenes WordPress-Konto, sondern über die zentrale Identitätsplattform des Unternehmens – typischerweise Entra ID, Okta, Google Workspace oder OneLogin. Genau dieser Anmeldeweg lässt sich austricksen.

Die erste Lücke, CVE-2026-61979, ist ein klassischer Algorithmus-Verwechsler. Das Plugin akzeptiert den Signatur-Algorithmus, den die eingehende SAML-Antwort selbst vorschlägt, statt den konfigurierten zu erzwingen. Wer HMAC-SHA1 wählt, bringt das Plugin dazu, den öffentlichen RSA-Schlüssel des Identity Providers als gemeinsames Geheimnis zu behandeln. Ein öffentlicher Schlüssel ist aber nun mal öffentlich – der Angreifer holt ihn vom Metadaten-Endpunkt, signiert seine eigene Assertion damit, und das Plugin winkt sie durch.

Die zweite Lücke, CVE-2026-15981, ist noch banaler und deshalb umso ärgerlicher. Die PHP-Funktion openssl_verify() kennt drei Rückgabewerte: 1 für gültig, 0 für ungültig, -1 wenn OpenSSL selbst in einen Fehler läuft. Das Plugin prüfte das Ergebnis als Wahrheitswert – und -1 ist in PHP wahr. Eine kaputte Signatur, die OpenSSL zum Stolpern bringt, gilt damit als gültige Signatur.

Beide Schwachstellen sind laut Patchstack mit CVSS 9.8 bewertet und lassen sich verketten. Ergebnis: Anmeldung als beliebiger existierender Benutzer, Administratoren eingeschlossen, ganz ohne Zugangsdaten.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Warum das Update niemanden erreicht hat

Beide Lücken wurden bereits im Juli 2026 öffentlich offengelegt und behoben. Trotzdem standen im August noch reichlich Seiten offen – und das liegt an der Versionierung. miniOrange vertreibt unter dem einen WordPress-Slug miniorange-saml-20-single-sign-on sieben eigenständig nummerierte Produktvarianten. Die Free-Edition läuft bei 5.x, die Standard-Edition bei 17.x, die VIP-Multisite bei 35.x. Ein öffentliches Advisory gab es nur für die kostenlose Variante.

Für Schwachstellen-Datenbanken ist das ein unlösbares Problem: Ein Eintrag kennt einen Slug und einen betroffenen Versionsbereich. Sagt der Eintrag „betroffen bis 5.4.4, behoben in 5.4.5″, dann meldet jede Bezahlversion mit ihrer höheren Nummer artig „bereits gepatcht“ – auch die nachweislich verwundbare Standard-Edition 16.1.9. Nach Angaben von Patchstack lieferte der Hersteller die vollständige Editions-Matrix erst am 18. August nach.

Die gepatchten Stände laut Hersteller-Tabelle: Free 5.4.5, Premium 13.0.4, Standard 17.0.6, Premium/Enterprise/All-Inclusive Multisite 20.2.8, Enterprise/All-Inclusive 26.0.3, VIP 32.0.8, VIP Multisite 35.0.7.

Wichtig für die Standard-Linie: Version 17.0.5 schließt nur die Algorithmus-Verwechslung. Die zweite Lücke fällt erst mit 17.0.6. Wer auf 17.0.5 stehenbleibt, hat also nur die Hälfte erledigt. Und am 19. August kam noch ein drittes, deutlich harmloseres Problem im selben Plugin dazu, das eine Aktion des Administrators voraussetzt – es lohnt sich, das im gleichen Wartungsfenster mitzunehmen.

Angriffe laufen bereits

Das Sicherheitsteam von DigitalOcean bemerkte am 16. August eine auffällige WordPress-Admin-Sitzung von außerhalb des vertrauenswürdigen Netzes und blockierte sie. Bei der Aufarbeitung stellte sich heraus, dass der Angreifer die Anmeldung bereits erfolgreich umgangen hatte und über eine gültige Administrator-Sitzung verfügte. Gestoppt hat ihn allein die Tatsache, dass der Zugriff auf die Verwaltungsoberfläche zusätzlich auf bestimmte Netze begrenzt war.

Patchstack beobachtet Scan- und Exploit-Versuche von sechs IP-Adressen aus Europa, Afrika und den USA und wertet das Muster als opportunistisches Streuen, nicht als gezielte Kampagne. Für die Free-Edition existiert zudem ein öffentlicher Proof-of-Concept.

Was das für dich bedeutet

Ich arbeite seit über 25 Jahren mit Identity-Systemen, und dieser Fall ist ein Lehrstück in zwei Kapiteln.

Erstens: SSO verschiebt Vertrauen, es beseitigt es nicht. Wer SAML einführt, hängt seine Anmeldung an die Korrektheit einer Signaturprüfung. Fällt diese Prüfung um – wie hier gleich zweimal –, dann ist nicht ein Passwort kompromittiert, sondern der Anmeldeweg selbst. MFA am Identity Provider hilft dabei genau gar nichts, weil der Angreifer den IdP überhaupt nicht besucht. Er fälscht die Antwort, die angeblich von dort kommt.

Zweitens: Das ist der praktische Grund, warum Software-Inventar und Schwachstellen-Management zwei verschiedene Disziplinen sind. Ein Scanner sagt dir, was seine Datenbank kennt. Er sagt dir nicht, was sie nicht kennt. In diesem Fall haben alle Warnsignale gleichzeitig geschwiegen: kein Advisory, kein Datenbankeintrag, kein Update-Hinweis im Dashboard. Aufgefallen ist die Sache nur, weil DigitalOcean eine zweite, davon völlig unabhängige Kontrolle betrieb – eine Netzwerkbeschränkung fürs Admin-Panel. Genau das ist Defense in Depth, und genau deshalb sollte man sie nicht wegrationalisieren, wenn sie „schon lange nichts mehr gefunden“ hat.

Ein dritter Punkt für kleine Betriebe und Selbstständige: Wenn ihr eine bezahlte Plugin-Edition einsetzt, gehört der Hersteller-Newsletter oder Changelog in eure Routine. Bezahlversionen laufen oft komplett außerhalb des WordPress-Update-Mechanismus – kein Hinweis im Dashboard bedeutet dort nicht „sicher“, sondern nur „nicht geprüft“.

Konkrete Schritte für Betreiber

• Edition feststellen, nicht nur Version. Die Versionsnummer allein sagt dir nicht, welche Variante du fährst. Schau in die Plugin-Details und ordne sie der Hersteller-Tabelle zu.
• Manuell aktualisieren. Bei einer verwundbaren 16.x erscheint kein Update-Hinweis; der Sprung auf 17.0.6 erfordert einen händischen Upload der Plugin-Datei. Vorher Backup ziehen.
• Wenn du gerade nicht aktualisieren kannst: DigitalOcean hat zwei eng begrenzte Hotfixes veröffentlicht, die den ausnutzbaren Pfad im Plugin-Code stoppen. Patchstack weist ausdrücklich darauf hin, dass die nur Zeit kaufen und den Herstellerfix nicht ersetzen – als Notnagel für ein paar Tage aber besser als gar nichts.
• Logs durchsehen. Suche nach administrativen Sitzungen von IP-Adressen außerhalb deiner erwarteten Bereiche. Dieser Indikator funktioniert unabhängig davon, welche Plugin-Version du hast – und er war es, der den Fall überhaupt ans Licht brachte.
• Admin-Bereich einschränken. /wp-admin und wp-login.php auf bekannte Netze oder ein VPN begrenzen. Das hätte hier den Unterschied gemacht.
• Prüfen, ob du das Plugin überhaupt brauchst. SAML-SSO auf einer kleinen Firmenseite mit fünf Redakteuren ist zusätzliche Angriffsfläche ohne echten Gegenwert.

Wer beim Thema Kontoübernahme grundsätzlich sauberer aufstellen will: In meinem Ratgeber zu Hardware-Security-Keys nach FIDO2 erkläre ich, warum phishing-resistente Verfahren Passwörtern und App-basierten Codes deutlich überlegen sind – als zweite Verteidigungslinie, wenn der Anmeldeweg selbst versagt.

Einordnung: Wie schlimm ist es wirklich?

Ohne Panik: Betroffen sind ausschließlich Seiten, die dieses spezielle Plugin einsetzen. Das ist kein WordPress-Kernproblem und keine Massenkompromittierung. Für die freie Variante weist WordPress.org mindestens 10.000 aktive Installationen aus. miniOrange wirbt firmenweit mit über 30.000 zahlenden Kunden über das gesamte Produktportfolio hinweg – wie viele davon auf die sechs bezahlten SAML-Editionen entfallen, ist nicht veröffentlicht. Die Größenordnung wirkt überschaubar – der Schaden pro betroffener Installation ist es nicht, denn ein Admin-Zugang ist bei WordPress faktisch ein Vollzugriff inklusive Codeausführung.

Wer das Plugin nicht nutzt, muss nichts tun. Wer es nutzt, sollte die Versionsprüfung nicht auf morgen verschieben. Ähnlich gelagert war zuletzt die Elementor-Pro-Lücke – auch dort war das Zeitfenster zwischen Veröffentlichung und Massenscans denkbar kurz.

Quellen

• Patchstack: One slug, seven editions – the miniOrange SAML SSO bug (21.08.2026)
• BleepingComputer: Hackers target WordPress sites in miniOrange auth bypass attacks (24.08.2026)
• WordPress.org: miniOrange SAML 2.0 Single Sign On