WordPress invadido sem senha: o bypass do SAML no miniOrange

WordPress↳WordPress9 conteúdosAndroid push notifications com Quasar Framework, Firebase e integração com WordPressDev (Back & Front) · mai 2019Simplificando a acessibilidade de documentos: introduzindo a integração do ONLYOFFICE DocSpace com WordPress e DrupalDev (Back & Front) · abr 2024Como criar seu site WordPress com um único prompt de IA em minutos?Dev (Back & Front) · mar 2025Ver tudo em Dev (Back & Front) → com login corporativo virou alvo de uma cadeia de falhas que dispensa a senha do administrador. Duas vulnerabilidades no plugin miniOrange SAML 2.0 Single Sign On permitem burlar a validação de assinatura das respostas SAML. No entanto, elas foram catalogadas como CVE 2026 61979 e CVE 2026 15981. Como resultado, um atacante sem autenticação pode ser tratado como usuário legítimo.

O plugin conecta o WordPress a provedores de identidade como Microsoft Entra ID, Okta e Google Workspace. Portanto, a superfície afetada inclui intranets, portais internos e ambientes corporativos inteiros. A Patchstack documentou o caso e identificou atividade de exploração contra endpoints do plugin.

WordPress confia na assinatura, e é ali que o plugin escorrega

O SAML funciona como um bilhete assinado. O provedor de identidade afirma que determinado usuário foi autenticado. Em seguida, a aplicação valida essa afirmação antes de abrir a sessão.

Em teoria, o WordPress só aceita a resposta depois de conferir a origem e a assinatura criptográfica. Na prática, as duas falhas atacam exatamente essa etapa. Assim, o bilhete forjado passa direto pela portaria.

Chave pública virando segredo: o truque da CVE 2026 61979

A primeira falha envolve a escolha do algoritmo de verificação. Em certas circunstâncias, o mecanismo vulnerável podia ser induzido a usar HMAC SHA1. Nesse cenário, a chave pública RSA acabava tratada como segredo compartilhado.

Aqui mora o problema. Uma chave pública existe justamente para circular. Ou seja, quem tem acesso a ela reúne tudo que precisa para fabricar uma assinatura que o plugin considera válida. Dessa forma, a verificação criptográfica deixa de provar qualquer coisa.

WordPress aceita erro como sucesso na CVE 2026 15981

A segunda falha é mais silenciosa. Ela vai soar familiar para quem já apanhou de retorno de função em PHP. O plugin usa openssl_verify() para conferir assinaturas. Essa função devolve 1 para sucesso, 0 para assinatura inválida e menos 1 para erro de processamento.

O detalhe mora na leitura desse retorno. Em versões vulneráveis, o menos 1 caía em uma checagem booleana e passava como verdadeiro. Logo, uma resposta que deveria ser rejeitada por erro acabava aprovada. O NVD classificou a falha como CWE 287, autenticação inadequada.

Do bilhete falso à sessão de administrador

Depois que o plugin aceita a resposta forjada, o fluxo de SSO segue seu curso normal. Ele cria uma sessão legítima associada à identidade apresentada. Se essa identidade corresponder a uma conta privilegiada, o invasor chega ao painel administrativo.

A partir daí, o repertório é conhecido. Instalação de plugins, criação de usuários, mudança de configurações e injeção de código entram no cardápio. Além disso, o acesso aparece nos logs como autenticação válida. Por isso, a detecção fica bem mais difícil.

WordPress em dia e plugin vulnerável ao mesmo tempo

O miniOrange existe em várias edições, cada uma com numeração própria. Portanto, comparar sua versão com a da edição gratuita gera falso alívio. Confira a linha correspondente à sua licença.

Free: última afetada 5.4.4, corrigida em 5.4.5.
Premium: última afetada 13.0.3, corrigida em 13.0.4.
Standard: última afetada 17.0.5, corrigida em 17.0.6.
Premium, Enterprise e All Inclusive multisite: última afetada 20.2.7, corrigida em 20.2.8.
Enterprise e All Inclusive single site: última afetada 26.0.2, corrigida em 26.0.3.
VIP single site: última afetada 32.0.7, corrigida em 32.0.8.
VIP multisite: última afetada 35.0.6, corrigida em 35.0.7.

Algumas edições comerciais deixam de exibir a atualização direto no painel. Nesses casos, baixe o pacote pelo canal oficial da licença e atualize manualmente.

WordPress comprometido pede resposta em seis passos

1. Identifique a edição e a versão exatas na tela de plugins.
2. Atualize para a versão corrigida da sua linha. Antes disso, faça backup dos arquivos e do banco.
3. Encerre as sessões administrativas ativas. Depois, redefina as credenciais das contas privilegiadas.
4. Procure usuários administradores que ninguém da equipe criou.
5. Analise logs de servidor, firewall e plugins de segurança. Busque logins fora do horário usual, IPs desconhecidos, mudanças de permissão e alterações recentes em temas.
6. Suba um WAF como camada complementar. Ele filtra ruído, embora a correção definitiva continue sendo a atualização do plugin.

WordPress corporativo merece o mesmo cuidado do provedor de identidade

A lição é direta. Autenticação centralizada concentra risco, e uma falha nessa camada extrapola o componente vulnerável. O invasor apenas convence o plugin de que o bilhete é verdadeiro, e o resto do sistema colabora.

Por fim, avise a equipe de infraestrutura e de segurança quando o site fizer parte do ambiente corporativo. Componentes de autenticação pedem prioridade máxima na fila de patches. Afinal, a próxima janela de exposição costuma abrir antes do próximo alerta.

Acompanhe nosso perfil no Instagram!