Veröffentlicht am 04.09.2026
Ein Angreifer, der sich ohne Passwort und ohne gültigen Login als Administrator Ihrer WordPress-Website anmelden kann – genau das ermöglichen zwei kritische Schwachstellen im weit verbreiteten Plugin miniOrange SAML 2.0 Single Sign On. Sicherheitsforscher von Patchstack und DigitalOcean haben die Lücken analysiert und dokumentiert, dass bereits Angriffsversuche im Internet beobachtet und blockiert wurden. Wer das Plugin einsetzt, sollte nicht abwarten, sondern jetzt handeln.
Die beiden Sicherheitslücken tragen die Kennungen CVE-2026-61979 (offiziell mit CVSS 8.1, „High“ bewertet) und CVE-2026-15981 (offiziell CVSS 9.8, „Critical“). Beide erlauben es, sich als beliebiger vorhandener WordPress-Benutzer anzumelden – bis hinauf zum Administrator. Und das Tückische daran: Wegen einer verwirrenden Versionsstruktur des Plugins glauben viele Betreiber, aktuell zu sein, obwohl sie es nicht sind.
Das Plugin miniOrange SAML 2.0 Single Sign On sorgt dafür, dass sich Nutzer über einen zentralen Anmeldedienst bei WordPress einloggen können – das sogenannte Single Sign On (einmalige Anmeldung für mehrere Dienste). Technisch geschieht das über sogenannte SAML-Assertions, also digital signierte Nachweise eines Identitätsanbieters (Identity Provider, kurz IdP), die WordPress mitteilen: „Dieser Nutzer ist echt und darf hinein.“ Die Signatur soll garantieren, dass diese Nachweise nicht gefälscht sind.
Genau bei dieser Signaturprüfung liegt das Problem. In beiden Fällen konnten Angreifer die Prüfung austricksen und dem Plugin einen gefälschten Anmeldenachweis unterschieben, den es fälschlicherweise als echt akzeptierte. Das Ergebnis: eine gültige WordPress-Sitzung im Namen eines echten Kontos – ganz ohne dessen Passwort.
Patchstack fasst die Lage in seinem Bericht klar zusammen:
„Exploitation has been attempted in the wild. DigitalOcean’s defense-in-depth controls detected and blocked the activity on its infrastructure.“ — Patchstack (mit Ursachenanalyse von DigitalOcean)
Auf Deutsch: Es wurde bereits versucht, die Lücke aktiv auszunutzen. Die gestaffelten Schutzmaßnahmen von DigitalOcean erkannten und blockierten die Aktivität auf deren Infrastruktur. Das ist kein Beweis, dass fremde Websites erfolgreich kompromittiert wurden – aber ein deutliches Warnsignal, dass die Lücke real und für Angreifer interessant ist.
Die beiden Schwachstellen entstehen aus zwei unterschiedlichen, aber verwandten Fehlern bei der Signaturprüfung.
Bei dieser Lücke konnte die eingehende SAML-Antwort selbst vorgeben, mit welchem Verfahren ihre Signatur geprüft werden soll. Statt des vorgesehenen, sicheren RSA-Verfahrens ließ sich das Verfahren auf HMAC-SHA1 umstellen – ein Prüfverfahren, das ein geheimes Passwort voraussetzt. Das Plugin behandelte daraufhin den öffentlichen Schlüssel des Identitätsanbieters als dieses angebliche Geheimnis. Der Haken: Ein öffentlicher Schlüssel ist per Definition öffentlich – jeder kann ihn kennen. Damit konnte ein Angreifer eine Signatur erzeugen, die das Plugin als gültig akzeptierte. Diese Lücke betrifft in der Free-Edition die Versionen bis 5.4.3 und ist ab 5.4.4 behoben.
Die zweite, noch schwerwiegendere Lücke steckt in der Auswertung der Prüffunktion openssl_verify(). Diese Funktion liefert drei mögliche Werte zurück: 1 für „Signatur gültig“, 0 für „Signatur ungültig“ und -1 für „bei der Prüfung ist ein Fehler aufgetreten“. Das Plugin prüfte den Rückgabewert jedoch nur grob als „wahr“ oder „falsch“. Und in der Programmiersprache PHP gilt der Wert -1 als „wahr“. Das bedeutet: Eine absichtlich fehlerhafte Signatur, die einen OpenSSL-Fehler auslöste, wurde vom Plugin als erfolgreich geprüft interpretiert.
Die NIST National Vulnerability Database beschreibt das so:
„The SAML Single Sign On – SSO Login plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 5.4.4.“ — NIST NVD / CNA Wordfence
Anschließend konnte laut NVD für ein durch die sogenannte NameID (die im Anmeldenachweis genannte Benutzerkennung) bestimmtes vorhandenes Konto ein WordPress-Authentifizierungs-Cookie gesetzt werden – die Eintrittskarte für eine vollwertige Sitzung. Voraussetzungen für den Angriff: eine erreichbare SAML-Anmeldung und mindestens ein vorhandenes Zielkonto. Eine vorherige WordPress-Anmeldung ist nicht nötig. CVE-2026-15981 betrifft die Free-Edition bis einschließlich 5.4.4 und ist erst ab 5.4.5 behoben.
Was die Sache besonders gefährlich macht: Das Plugin existiert in sieben unabhängig versionierten Editionen – von der kostenlosen Free-Version bis zu verschiedenen kostenpflichtigen Ausgaben –, die alle denselben WordPress.org-Kennnamen (Slug) teilen, aber völlig unterschiedliche Versionsnummern verwenden. Die Free-Edition liegt zum Recherchezeitpunkt bei Version 5.4.7, während kostenpflichtige Linien Nummern wie 16.x, 17.x oder 20.x tragen.
Das führt zu einem gefährlichen Trugschluss: Eine anfällige, kostenpflichtige 16.x-Installation kann bei oberflächlicher Prüfung gegen den Free-Patch 5.4.5 fälschlich als „aktuell“ erscheinen – obwohl sie es nicht ist. Patchstack berichtet außerdem, dass bei einer verwundbaren Standard-Installation der 16.x-Reihe gar kein Update-Hinweis im WordPress-Dashboard erschien. Wer sich also allein auf die Update-Anzeige verlässt, übersieht die Lücke möglicherweise vollständig.
Betroffen sind ausschließlich Websites, die das Plugin miniOrange SAML 2.0 Single Sign On (auch als „SAML Single Sign On – SSO Login“ geführt) einsetzen. Wer kein SAML-SSO-Plugin nutzt, ist von diesen konkreten Schwachstellen nicht betroffen.
Zur Größenordnung: WordPress.org weist für die Free-Edition zum Recherchezeitpunkt mehr als 10.000 aktive Installationen aus. Diese Zahl ist jedoch nur eine konservative Untergrenze für die kostenlose Ausgabe – über die kostenpflichtigen Editionen und deren Verbreitung liegen in den ausgewerteten Quellen keine belastbaren Gesamtzahlen vor. Eine verifizierte Zahl erfolgreich kompromittierter fremder Websites gibt es nicht und wird hier auch nicht behauptet.
wp-content/plugins/miniorange-saml-20-single-sign-on/.Es gibt Patches – und Sie sollten sie umgehend einspielen. Die relevanten Mindeststände:
Konkrete Schritte:
/wp-admin zusätzlich – etwa durch IP-Beschränkungen für die Verwaltung, Mehrfaktor-Authentisierung, WAF-Regeln und einen separaten Notfall-Adminzugang. Diese Maßnahmen ersetzen den Patch nicht, verschaffen aber Zeit.Ein Hinweis zu den von Patchstack dokumentierten temporären Quellcode-Hotfixes: Diese sind ausschließlich kurzfristige Notmaßnahmen, wenn ein zeitnahes Upgrade technisch unmöglich ist. Sie gehören unter Change-Management, müssen dokumentiert und getestet werden – und ersetzen niemals das offizielle Hersteller-Update.
Eine erfolgreiche Admin-Übernahme kann – je nach Website – Zugriff auf Kunden-, Kontakt-, Bestell-, Mitglieder- oder Beschäftigtendaten eröffnen. Damit wird der Vorfall datenschutzrelevant, sobald personenbezogene Daten unbefugt offengelegt, verändert, gelöscht oder unzugänglich werden könnten.
Wichtig zur Einordnung: Die Schwachstelle allein ist noch keine automatisch meldepflichtige Datenschutzverletzung. Ob eine Meldepflicht besteht, entscheidet nicht der CVSS-Wert, sondern die konkrete Vorfallsanalyse. Verantwortliche müssen jedoch jeden Vorfall dokumentieren. Ergibt sich voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen, ist die zuständige Aufsichtsbehörde nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Kenntnis zu informieren. Bei voraussichtlich hohem Risiko ist zusätzlich eine Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO zu prüfen.
Der European Data Protection Board formuliert die Grundregel so:
„notification of any personal data breach to the relevant data protection authority (DPA) within 72 hours, unless it is unlikely to result in a risk to individuals“ — European Data Protection Board
Verstöße gegen die Art. 32 bis 34 DSGVO können gemäß Art. 83 Abs. 4 lit. a DSGVO mit bis zu 10 Mio. Euro oder bis zu 2 % des weltweiten Vorjahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Die konkrete Pflicht und Sanktion hängen vom Einzelfall ab. Diese Einordnung ist allgemeine Information und keine Rechtsberatung.
Für Betreiber betroffener Editionen ist die technische Priorität sehr hoch. CVE-2026-15981 ist mit 9.8 als „Critical“ eingestuft, ohne Anmeldung über das Netzwerk ausnutzbar und automatisierbar. CVE-2026-61979 liegt mit 8.1 im „High“-Bereich. Beide können laut den technischen Quellen die Anmeldung als bestehender Benutzer bis hin zum Administrator ermöglichen.
Das Risiko wird durch drei Faktoren verschärft: Die Versionen laufen in sieben Linien auseinander, mindestens eine betroffene Standard-16.x-Linie signalisiert kein Update im Dashboard, und Patchstack meldet beobachtetes Scanning sowie blockierte Ausnutzungsversuche. Ein öffentlicher Proof of Concept für die Free-Versionen existiert ebenfalls – die Hürde für Angreifer ist damit niedrig.
Die Forscher von DigitalOcean beschreiben einen konkreten abgewehrten Versuch:
„The attacker had already used the bypass to obtain a WordPress admin session cookie, but was stalled because the admin panel operations themselves sat restricted behind the trusted network.“ — DigitalOcean-Sicherheitsteam, wiedergegeben von Patchstack
Der Angreifer hatte also bereits ein Admin-Sitzungs-Cookie erbeutet – und wurde nur durch eine zusätzliche Netzwerkbeschränkung gestoppt. Das unterstreicht, wie wertvoll gestaffelte Schutzmaßnahmen (defense in depth) neben dem eigentlichen Patch sind.
Zwei Fehler in der Signaturprüfung, sieben verwirrend versionierte Editionen und eine unzuverlässige Update-Anzeige – diese Kombination macht die miniOrange-SAML-SSO-Lücken zu einem Fall, den man nicht auf die lange Bank schieben darf. Wer das Plugin einsetzt, sollte jetzt drei Dinge tun: die genaue Edition und Version bestimmen, auf den passenden Fix-Stand aktualisieren und die Logs rückwirkend ab dem 16. Juli 2026 prüfen. Verlassen Sie sich dabei nicht auf das WordPress-Dashboard – prüfen Sie manuell.
Finden Sie Anzeichen für einen unbefugten Zugriff, starten Sie umgehend Ihren Incident-Prozess und die datenschutzrechtliche Bewertung nach Art. 33 und ggf. Art. 34 DSGVO. Und wenn Sie unsicher sind, ob Ihre Installation betroffen ist oder ob bereits etwas passiert ist: Holen Sie sich fachliche Unterstützung, bevor aus einer Schwachstelle ein meldepflichtiger Datenschutzvorfall wird.