Latest / VULNERABILITIES / WORDPRESS / SAML
WordPress用miniOrange SAML SSOに認証バイパスの重大な脆弱性 — CVE-2026-15981（CVSS 9.8）など2件を連鎖、8月16日から悪用観測
WordPressサイトをSAMLのサービスプロバイダー化する「miniOrange SAML 2.0 Single Sign On」プラグインに、未認証で管理者としてログイン可能な認証バイパスの脆弱性2件が明らかになった。CVE-2026-15981（CVSS 9.8）とCVE-2026-61979（CVSS 8.1）を連鎖させることでSAMLレスポンスの署名検証を回避できる。Patchstackは2026年8月16日にDigitalOcean環境での悪用を遮断し、6つのIPからの探索を観測したと報告。修正版は無料版5.4.5などで公開済みだが、有料版はダッシュボードに更新警告が出ないため手動での確認が必要だ。
