Cảnh báo miniOrange SAML SSO bị khai thác: Cần vá ngay

Nếu website WordPress của bạn đăng nhập qua miniOrange SAML SSO, đây là lúc kiểm tra phiên bản thay vì chờ nút cập nhật tự xuất hiện. Hai lỗ hổng CVE-2026-61979 và CVE-2026-15981 có thể bị ghép lại để vượt qua xác thực, đăng nhập dưới tên một tài khoản có sẵn, kể cả quản trị viên. Hoạt động dò quét và khai thác đã được ghi nhận ngoài thực tế.

Điểm khó chịu nhất là một số bản trả phí có thể không hiện cảnh báo cập nhật trong bảng điều khiển WordPress. Nhìn thấy dòng “đã cập nhật” chưa chắc đã có nghĩa là an toàn. Lần này, con số phiên bản quan trọng hơn cảm giác yên tâm.

Lỗ hổng miniOrange SAML SSO nguy hiểm ra sao?

miniOrange SAML SSO cho phép WordPress nhận danh tính từ hệ thống đăng nhập tập trung như Microsoft Entra ID, Okta, Google Workspace hoặc OneLogin. Bình thường, WordPress chỉ chấp nhận phản hồi SAML có chữ ký hợp lệ từ nhà cung cấp danh tính.

Với CVE-2026-61979, plugin để phản hồi SAML gửi đến tự chọn thuật toán chữ ký. Kẻ tấn công có thể lợi dụng nhầm lẫn thuật toán để dùng khóa công khai RSA làm bí mật HMAC rồi tạo chữ ký giả. CVE-2026-15981 nằm ở bước kiểm tra chữ ký: hàm OpenSSL có thể trả về giá trị lỗi -1, nhưng plugin lại coi giá trị này như kết quả đúng. Kết quả là một phản hồi SAML giả có thể vượt qua cửa kiểm tra.

Patchstack cho biết DigitalOcean phát hiện một phiên quản trị WordPress bất thường vào ngày 16/8/2026 và chặn được nhờ giới hạn truy cập trang quản trị theo mạng tin cậy. Nhóm điều tra sau đó tái hiện chuỗi tấn công trên bản Standard 16.1.9. Hoạt động quét được ghi nhận từ sáu địa chỉ IP ở nhiều khu vực, và mã thử nghiệm cho bản miễn phí đã xuất hiện công khai. Đây là lý do cảnh báo đạt mức cần xử lý ngay, không phải một CVE chỉ nằm trên giấy.

Phiên bản nào cần cập nhật?

Plugin này có bảy dòng sản phẩm dùng chung một slug nhưng đánh số phiên bản khác nhau. Vì vậy, đừng lấy mốc 5.4.5 của bản miễn phí để kết luận rằng bản trả phí 16.x đã an toàn.

Bảng trên dựa trên phân tích của DigitalOcean và bảng phiên bản do miniOrange cung cấp cho Patchstack. Bản Free hiện có phiên bản 5.4.7 trên kho WordPress.org. Với bản thương mại, bạn có thể phải tải gói mới từ tài khoản miniOrange và cài thủ công; hãy sao lưu trước khi thay plugin.

Việc nên làm ngay hôm nay

1. Xác định đúng edition và phiên bản. Kiểm tra trong trang Plugins, tệp plugin hoặc cổng khách hàng miniOrange. Đừng chỉ nhìn thông báo cập nhật tự động.
2. Nâng cấp ít nhất tới mốc đã vá trong bảng. Nếu chưa thể cập nhật, cân nhắc tạm tắt SSO hoặc hạn chế /wp-admin theo VPN/IP tin cậy. Patchstack có đưa ra hotfix hẹp, nhưng đó chỉ là giải pháp câu giờ và nên được người quản trị có kinh nghiệm xem xét.
3. Rà soát nhật ký. Tìm phiên đăng nhập quản trị từ IP hoặc quốc gia lạ, tài khoản quản trị mới, thay đổi plugin/theme và yêu cầu bất thường tới điểm nhận phản hồi SAML.
4. Thu hồi phiên đáng ngờ. Đổi mật khẩu quản trị, xoay khóa và salt WordPress nếu có dấu hiệu bị chiếm quyền, buộc đăng xuất toàn bộ phiên, rồi kiểm tra file lạ và tài khoản mới.

Danh sách sáu IP trong báo cáo Patchstack hữu ích cho việc săn dấu vết, nhưng không nên dùng như danh sách chặn duy nhất. IP của kẻ tấn công đổi nhanh; phiên quản trị xuất hiện ngoài dải mạng quen thuộc và thay đổi hệ thống trái phép đáng tin hơn.

Nếu bạn vận hành nhiều website, hãy kiểm tra tất cả nơi dùng slug miniorange-saml-20-single-sign-on. Một website phụ bị bỏ quên vẫn có thể trở thành cửa vào. Bạn cũng có thể xem thêm cách xử lý một lỗi plugin WordPress có nguy cơ chiếm quyền quản trị để hoàn thiện quy trình rà soát sau cập nhật.

Nguồn kiểm chứng

• Patchstack và DigitalOcean: phân tích, phiên bản ảnh hưởng, IOC và thời gian phát hiện
• NVD: CVE-2026-15981 và NVD: CVE-2026-61979
• Kho plugin WordPress.org: phiên bản hiện hành và changelog của bản Free
• BleepingComputer: xác nhận hoạt động khai thác và dò quét