Des acteurs malveillants recherchent activement des sites WordPress exposés à deux vulnérabilités du plugin miniOrange SAML 2.0 Single Sign On. Les failles permettent de contourner l’authentification sans disposer d’un compte valide et, dans certaines configurations, d’obtenir directement une session administrateur.
Les problèmes sont suivis sous les références CVE-2026-61979 et CVE-2026-15981. Ils touchent les éditions payantes du module de connexion SAML développé par Xecurify. Les administrateurs concernés doivent vérifier leur version sans délai et considérer toute instance vulnérable comme potentiellement compromise.
Deux failles dans la validation SAML
SAML permet à un fournisseur d’identité de transmettre à une application une assertion signée confirmant l’identité d’un utilisateur. La sécurité du mécanisme dépend de la vérification rigoureuse de cette signature, de l’algorithme attendu et des informations contenues dans la réponse.
CVE-2026-61979, notée 8,1 sur l’échelle CVSS, repose sur une confusion d’algorithme de signature. Un attaquant non authentifié peut construire une réponse SAML susceptible d’être acceptée et élever ses privilèges. Le correctif a été intégré à la version 17.0.5 de l’édition Standard.
CVE-2026-15981, notée 9,8, est plus critique. Une signature volontairement mal formée peut déclencher une erreur OpenSSL que le plugin interprète à tort comme une validation réussie. La correction est disponible à partir de la version 17.0.6 de l’édition Standard.
Comment une erreur devient une signature valide
La fonction PHP openssl_verify() ne renvoie pas seulement vrai ou faux. Elle utilise trois états : 1 lorsque la signature est valide, 0 lorsqu’elle est invalide et -1 en cas d’erreur. Une comparaison booléenne trop permissive peut traiter -1 comme une valeur vraie.
En provoquant intentionnellement une erreur de traitement, un attaquant peut donc franchir le contrôle de signature. Il choisit ensuite un identifiant SAML correspondant à un utilisateur WordPress existant. Si le compte ciblé est administrateur, le plugin peut établir le cookie de session avec les mêmes privilèges.
Des tentatives d’exploitation déjà observées
Patchstack a signalé des recherches opportunistes visant les installations exposées. L’enquête a été déclenchée après l’observation par DigitalOcean d’une tentative de session administrateur provenant de l’extérieur d’un réseau de confiance.
Plusieurs adresses IP réparties dans différentes régions auraient participé au balayage. Cette dispersion ressemble davantage à une exploitation à grande échelle qu’à une opération centrée sur une seule organisation. La publication d’un code de démonstration augmente encore le risque pour les sites non corrigés.
Quelles versions installer ?
Les versions minimales communiquées pour l’édition Standard sont 17.0.5 pour CVE-2026-61979 et 17.0.6 pour CVE-2026-15981. En pratique, il faut installer la version la plus récente proposée par l’éditeur, car elle cumule les correctifs et peut intégrer d’autres durcissements.
Les administrateurs des éditions Enterprise ou All-Inclusive doivent consulter leur espace client et la documentation Xecurify pour identifier la branche corrigée correspondante. Il ne faut pas supposer qu’un numéro de version d’une édition s’applique automatiquement à une autre.
Plan d’action immédiat pour WordPress
Que faire en cas de suspicion de compromission ?
Une mise à jour ferme la vulnérabilité mais ne supprime pas un accès persistant déjà installé. Si un site a été exposé, l’équipe doit conserver les journaux, comparer les fichiers avec des versions saines, analyser les comptes et extensions, renouveler les secrets WordPress et vérifier l’infrastructure d’hébergement.
Les clés de sécurité de WordPress, mots de passe administrateur, identifiants de base de données et jetons d’intégration doivent être renouvelés selon le périmètre de l’incident. Une restauration depuis une sauvegarde n’est fiable que si la date de compromission est connue et si la cause initiale est corrigée.
Pourquoi les plugins SSO sont particulièrement sensibles
Un module SSO se trouve directement sur le chemin de confiance de l’authentification. Une erreur de validation peut donner plus de pouvoir qu’une faille classique dans une fonction secondaire. Les équipes doivent donc traiter ces extensions comme des composants critiques : mises à jour prioritaires, tests de configuration, surveillance et revue régulière des fournisseurs d’identité autorisés.
Sources
Les informations techniques et l’activité d’exploitation sont rapportées par The Hacker News, à partir des analyses de Patchstack et du signalement attribué à DigitalOcean. Les références publiques sont CVE-2026-61979 et CVE-2026-15981. Les administrateurs doivent confirmer la version adaptée à leur édition auprès de Xecurify.
