Geautomatiseerde schorsingen Uber onder vuur: dat is een bekende waarschuwing in de beveiligingswereld dat aanvallers vaak niet wachten op één specifieke doelwitsite. In deze melding gaat het om een vergelijkbaar patroon—maar dan met een heel andere oorzaak—namelijk twee ernstige fouten in een SSO-plugin waarmee inlogverificatie kan worden omzeild. Concreet: de Xecurify miniOrange SAML 2.0 Single Sign On-plugin kan volgens recente rapporten worden misbruikt om in te loggen als vrijwel elke WordPress-gebruiker, inclusief beheerders.
De kern van het probleem zit in hoe de plugin SAML-handtekeningen controleert. Daardoor kunnen aanvallers een speciaal geconstrueerde SAMLResponse sturen waarin de handtekening bewust ongeldig of “verkeerd” wordt verwerkt. Het gevolg kan zijn dat WordPress denkt dat authenticatie geslaagd is, waarna er een authenticatie-cookie wordt gezet voor het doelaccount.
Wat er misgaat in miniOrange SAML
De kwetsbaarheden richten zich op ongeauthenticeerde manieren om authenticatie te omzeilen. Dat betekent: een aanvaller hoeft niet ingelogd te zijn om de bypass te proberen. In plaats daarvan wordt misbruik gemaakt van fouten in de validatie-logica van SAML-handtekeningen.
Volgens de toelichting bij de kwetsbaarheid draait het om hoe de functie mo_saml_validate_signature() omgaat met de uitkomst van PHP’s openssl_verify(). In een van de gevallen wordt een foutstatus gezien als “waar”, waardoor een handtekening onterecht als geldig kan worden beschouwd.
Verder blijkt dat je met een gemanipuleerde SAMLResponse een NameID kunt meesturen waarmee de plugin een bestaand WordPress-account target. Combineer dat met een handtekeningwaarde die bewust een verwerkingsfout triggert, dan kan de controle volledig worden omzeild.
De twee SAML-kwetsbaarheden (CVE’s)
Het beveiligingsrapport onderscheidt twee ernstige issues. Beide hebben een hoge impact en vallen in de categorie authenticatie bypass/privilege-escalatie.
- CVE-2026-61979 (CVSS-score 8.1): een unauthenticated privilege escalation-kwetsbaarheid. Dit komt voort uit signature algorithm confusion. Voor de Standard editie is dit volgens Patchstack opgelost in versie 17.0.5.
- CVE-2026-15981 (CVSS-score 9.8): een authentication bypass-kwetsbaarheid doordat de plugin malformed signatures als geldig kan accepteren. Dit is voor de Standard editie gepatcht in versie 17.0.6.
Let op: beide fixes zijn gekoppeld aan de Standard editie. Als je een andere editie of versie draait, check dan specifiek welke update voor jouw configuratie geldt.
Hoe een aanval praktisch werkt
De meldingen beschrijven dat een aanvaller een SAMLResponse kan maken met een malformed signature. Vervolgens wordt die respons naar de plugin gestuurd zodat de validatieroutine de handtekening ten onrechte als succesvol beoordeelt.
Daarna wordt—volgens de beschrijving—voor het doelaccount een authenticatie-cookie gezet via een aanroep van wp_set_auth_cookie(). Daarmee kan een aanvaller inloggen als de gezochte gebruiker, inclusief administratieve accounts.
Een extra zorgpunt is dat er al een proof-of-concept (PoC) beschikbaar is om de stappen te ketenen en zo adminrechten te verkrijgen. Daardoor kunnen aanvallen sneller opschalen zodra een site kwetsbaar blijkt.
Waarom het lijkt op opportunistische scanning
Patchstack geeft aan dat er scanning is waargenomen vanaf meerdere IP-adressen. De verspreiding suggereert geen klassieke “één campagne, één doelwit”-aanpak, maar eerder opportunistisch scannen: wie de plugin heeft geïnstalleerd, kan worden geraakt.
De waargenomen IP’s die in het rapport worden genoemd zijn: 207.211.214.41, 79.127.224.14, 102.91.71.83, 162.243.116.148, 84.201.6.54, en 64.225.25.188.
Ook wordt genoemd dat de aanvaller lijkt te proberen de exploit op “elke” site met de plugin toe te passen, zonder eerst te controleren welke editie of versie draait. Dat maakt de kans op misbruik voor veel organisaties tegelijk groter.
Wat je nu moet doen als je miniOrange gebruikt
Voor WordPress-eigenaren is de boodschap vrij helder: patch onmiddellijk. Zeker omdat de bypass ongeauthenticeerd kan zijn en omdat PoC’s de drempel verlagen.
1) Controleer versie en editie
Ga na welke versie van de Xecurify miniOrange SAML 2.0 Single Sign On plugin je draait. Vergelijk die met de bekende fixversies: 17.0.5 voor CVE-2026-61979 en 17.0.6 voor CVE-2026-15981 (Standard editie).
2) Installeer de nieuwste beveiligingsupdate
Werk de plugin bij naar de laatste versie die de beschreven problemen verhelpt. Blijf niet hangen in “bijna actueel”, omdat het precies de validatielogica rond signature checks is die hier faalt.
3) Controleer SSO-inlogpogingen en accounts
Let specifiek op SSO-gerelateerde inlogpogingen rond beheerdersaccounts. Als je ongebruikelijke sessies of admin-activiteit ziet die je niet kunt verklaren, behandel dat dan als mogelijk incident.
4) Test herstel en intrekking van sessies
Wanneer je updates uitvoert na een mogelijk exploit: controleer sessies en tokens. Zorg dat bestaande sessies die via een misbruikte bypass tot stand zijn gekomen, worden beëindigd. Hoe je dat doet hangt af van je WordPress-setup en caching/sessie-instellingen.
Vergelijkbare signalen: waarom geautomatiseerde acties tellen
Hoewel dit incident draait om SAML/WordPress en niet om Uber-specifieke workflows, zit de parallel in het patroon: geautomatiseerde activiteit op internet. Aanvallers laten vaak geen “wachten” achter zich; ze proberen systemen te vinden, te valideren en direct te misbruiken.
Je kunt je verdedigingshouding daarop afstemmen door, waar mogelijk, te kijken naar afwijkend authenticatiegedrag. Denk aan: inlogpogingen buiten je vertrouwde regio’s, ongebruikelijke bronnetwerken en sprongen van gewone gebruikers naar adminrollen.
Als je breder wilt kijken naar signalen die geautomatiseerd misbruik onderbouwen, kan ook deze site-update relevant zijn: geautomatiseerde schorsingen: bewijs voor groei. Het onderwerp is anders, maar de onderliggende les—vroeg signaleren en snel reageren—blijft vergelijkbaar.
Externe rapportage en incidentcontext
In het bericht wordt ook genoemd dat een cloud-infrastructuurprovider de problemen ontdekte nadat ze anomalieën zagen rond een WordPress admin-sessie. Die sessiepoging kwam van buiten het vertrouwde netwerk.
De aanbieder rapporteert dat de aanvaller al een admin-sessie-cookie had weten te bemachtigen, maar vervolgens tegen beperkingen aanliep doordat admin-activiteiten zelf achter een “trusted network”-filter zaten. Dat betekent niet dat er geen risico is—alleen dat de impact in die specifieke setup werd ingeperkt.
Voor andere organisaties zonder dergelijke extra toegangsfilters kan de impact groter zijn.
Extra aandacht: keten van kwetsbaarheden en PoC
Een belangrijke reden om niet te wachten met patchen is dat onderzoekers aangeven dat de kwetsbaarheden te ketenen zijn. Met andere woorden: een aanvaller kan meerdere fouten combineren om uiteindelijk aan admin privileges te komen.
Omdat er bovendien een PoC-code beschikbaar is, kunnen kwaadwillenden het misbruik herhalen zonder vanaf nul te hoeven starten. Dat maakt de tijd tot een succesvolle aanval korter, en daarmee de noodzaak om snel te updaten groter.
Conclusie
De miniOrange SAML 2.0 Single Sign On plugin kent volgens recente rapporten twee ernstige, ongeauthenticeerde kwetsbaarheden die kunnen leiden tot login als elke WordPress-gebruiker, inclusief beheerders. De oorzaak ligt in de manier waarop signature-validatie uitkomstfouten en gemanipuleerde SAML-handtekeningen kan misinterpreteren.
De beste stap is praktisch: update de plugin direct naar de versies die CVE-2026-61979 en CVE-2026-15981 verhelpen. Voeg daarnaast monitoring toe op verdachte SSO-gedragingen en beoordeel admin-sessies zorgvuldig. Zo verklein je de kans dat geautomatiseerde aanvallen, in de stijl van geautomatiseerde schorsingen Uber onder vuur, ook jouw WordPress-omgeving bereiken.
Bron: https://thehackernews.com/2026/08/attackers-target-miniorange-saml-flaws.html
