พบแฮกเกอร์พยายามโจมตีเว็บไซต์ WordPress ที่ใช้ปลั๊กอิน miniOrange SAML 2.0 Single Sign On ผ่านช่องโหว่ร้ายแรง 2 รายการ ได้แก่ CVE-2026-61979 และ CVE-2026-15981 ซึ่งอาจทำให้ผู้โจมตีข้ามระบบยืนยันตัวตนและเข้าถึงเว็บไซต์ด้วยสิทธิ์ Administrator ได้ โดยขณะนี้เริ่มพบความพยายามนำช่องโหว่ดังกล่าวมาใช้โจมตีแล้ว
ช่องโหว่นี้ส่งผลอย่างไร
ช่องโหว่ CVE-2026-61979 จะเปิดทางให้แฮกเกอร์สร้างลายเซ็นปลอมที่ปลั๊กอินยอมรับว่าเป็นของจริงได้ เนื่องจากปลั๊กอินยอมรับวิธีตรวจสอบลายเซ็นที่ระบุมากับ SAML Response แทนที่จะใช้วิธีที่ระบบกำหนดไว้ ทำให้ผู้โจมตีสามารถเลือก HMAC-SHA1 และนำ Public Key ของระบบยืนยันตัวตนมาใช้สร้างลายเซ็นปลอมได้
ส่วน CVE-2026-15981 เป็นข้อผิดพลาดในขั้นตอนตรวจสอบลายเซ็น โดยปลั๊กอินตีความ Error จาก OpenSSL ว่าเป็นการตรวจสอบที่สำเร็จ ทำให้ลายเซ็นที่ไม่ถูกต้องบางรูปแบบสามารถผ่านการตรวจสอบได้
เมื่อนำช่องโหว่ทั้งสองมาใช้ร่วมกัน แฮกเกอร์สามารถหลอกระบบให้ยอมรับ SAML Response ปลอม และเข้าถึงหลังบ้าน WordPress ด้วยสิทธิ์ Administrator ซึ่งเปิดทางให้แก้ไขเว็บไซต์ ติดตั้งปลั๊กอินหรือไฟล์อันตราย รวมถึงใช้เว็บไซต์เป็นช่องทางในการโจมตีต่อได้
อย่างไรก็ตาม Patchstack ระบุว่า ช่องโหว่ทั้งสองได้รับการแก้ไขตั้งแต่เดือนกรกฎาคม แต่ประกาศด้านความปลอดภัยจากผู้พัฒนากล่าวถึงเฉพาะเวอร์ชันฟรีเท่านั้น ขณะที่เวอร์ชันเสียเงินอีก 6 รุ่นก็ได้รับผลกระทบจากช่องโหว่นี้เช่นกัน จึงอาจทำให้ผู้ใช้งานบางรายไม่ทราบว่าเวอร์ชันที่ตัวเองใช้อยู่มีความเสี่ยงและจำเป็นต้องอัปเดต
พบการโจมตีเกิดขึ้นแล้ว
เมื่อวันที่ 16 สิงหาคม Patchstack รายงานว่า พบผู้โจมตีใช้ช่องโหว่ทั้งสองกับ miniOrange Standard เวอร์ชัน 16.1.9 จนสามารถได้รับ Admin Session Cookie และเข้าถึง WordPress ด้วยสิทธิ์ Administrator ได้สำเร็จ
นอกจากนี้ ยังพบการสแกนและพยายามโจมตีเว็บไซต์จากหลายประเทศ ขณะที่โค้ด Proof-of-Concept (PoC) สำหรับช่องโหว่ในเวอร์ชันฟรีถูกเผยแพร่สู่สาธารณะแล้ว จึงมีความเสี่ยงที่การโจมตีจะเพิ่มขึ้นในระยะต่อไป
ผู้ใช้ miniOrange ควรอัปเดตทันที
ผู้ที่ใช้งาน miniOrange SAML SSO ควรตรวจสอบ Edition และเวอร์ชันที่ติดตั้ง พร้อมอัปเดตเป็นเวอร์ชันที่ได้รับการแก้ไขแล้ว ดังนี้
- Free, Single Site: 5.4.5
- Premium, Single Site: 13.0.4
- Standard, Single Site: 17.06
- Premium / Enterprise / All-Inclusive, Multisite: 20.2.8
- Enterprise / All-Inclusive, Single Site: 26.0.3
- VIP, Single Site: 32.0.8
- VIP, Multisite: 35.0.7
Patchstack เตือนว่า WordPress Dashboard อาจไม่แสดงแจ้งเตือนอัปเดตสำหรับ miniOrange เวอร์ชันเสียเงิน ผู้ดูแลเว็บไซต์จึงควรตรวจสอบเวอร์ชันและอัปเดตด้วยตัวเอง โดยไม่ควรรอการแจ้งเตือนจากระบบ
เหตุการณ์นี้แสดงให้เห็นว่า แม้ช่องโหว่จะมีแพตช์ออกมาแล้ว แต่เว็บไซต์ก็ยังมีความเสี่ยงหากไม่ได้อัปเดต เจ้าของเว็บไซต์จึงควรตรวจสอบและอัปเดตปลั๊กอินอยู่เสมอ เพื่อลดโอกาสที่ช่องโหว่จะถูกนำมาใช้โจมตี
ที่มา: Bleeping computer
