แฮ็กเกอร์ใช้ช่องโหว่ระดับ Critical ในปลั๊กอิน miniOrange SAML SSO เพื่อเข้ายึดบัญชีผู้ดูแลระบบ WordPress

 

ช่องโหว่ระดับ critical 2 รายการในปลั๊กอิน miniOrange SAML 2.0 Single Sign-On อาจทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตน สามารถเข้าสู่ระบบเว็บไซต์ WordPress ที่มีช่องโหว่ได้ในฐานะผู้ใช้งานทุกคนที่มีอยู่ในระบบ รวมถึงผู้ดูแลระบบ

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2026-61979 และ CVE-2026-15981 ซึ่งได้รับคะแนนความรุนแรง CVSS สูงถึง 9.8 คะแนน และมีความเชื่อมโยงกับพฤติกรรมความพยายามโจมตีที่เกิดขึ้นจริงแล้วในปัจจุบัน

ช่องโหว่นี้ส่งผลกระทบต่อซอฟต์แวร์ Single Sign-On แบบ SAML-based ของ miniOrange ซึ่งมีไว้เพื่อให้เว็บไซต์ WordPress สามารถตรวจสอบสิทธิ์ และยืนยันตัวตนผู้ใช้งานผ่านผู้ให้บริการ Identity Provider ภายนอก

การโจมตีทำได้โดยอาศัยจุดอ่อนในการตรวจสอบ SAML signature ของตัวปลั๊กอิน ซึ่งช่วยให้แฮ็กเกอร์สามารถปลอมแปลงข้อมูลการตอบกลับยืนยันตัวตน เพื่อสวมรอยเข้าใช้งานหน้า /wp-admin panel ของ WordPress ได้โดยไม่จำเป็นต้องใช้ข้อมูลเข้าสู่ระบบที่ถูกต้องแต่อย่างใด

แฮ็กเกอร์กำลังโจมตีช่องโหว่ใน miniOrange SAML SSO

ช่องโหว่ CVE-2026-61979 เป็นช่องโหว่ที่เกิดจากความสับสนของอัลกอริทึม signature โดยปลั๊กอินจะยอมรับอัลกอริทึม signature ที่ระบุมาใน incoming SAML response ซึ่งทำให้ผู้โจมตีสามารถสับเปลี่ยนการตรวจสอบที่ควรจะเป็นแบบ RSA ไปเป็น HMAC-SHA-1 ได้

ในส่วนของโค้ดที่มีช่องโหว่นั้น ปลั๊กอินอาจประมวลผล RSA public key ที่เปิดเผยต่อสาธารณะให้กลายเป็นเสมือน HMAC secret ส่งผลให้ผู้โจมตีสามารถใช้ Public key ดังกล่าวมา sign เพื่อรับรองข้อมูลการยืนยันตัวตน SAML ที่เป็นอันตราย  และทำให้ปลั๊กอินยอมรับว่าข้อมูลนั้นถูกต้องได้

ส่วนช่องโหว่ที่สอง CVE-2026-15981 เกิดจากการจัดการ Return value ของฟังก์ชัน openssl_verify() ที่ไม่ถูกต้อง โดยปกติฟังก์ชันนี้จะคืนค่า 1 สำหรับ valid signature, 0 สำหรับ invalid signature และ -1 หากเกิดข้อผิดพลาดภายในระบบ OpenSSL

แต่ตัวปลั๊กอินกลับนำผลลัพธ์ที่ได้ไปประมวลผลเป็นเพียงค่า Boolean ธรรมดา และเนื่องจากในภาษา PHP ค่า -1 จะถูกประเมินผลว่าเป็นจริง signature ที่ผิดรูปแบบซึ่งไปทำให้เกิดข้อผิดพลาดของ OpenSSL จึงอาจถูกระบบยอมรับอย่างผิดพลาดว่าเป็น signature ที่ถูกต้อง

ทีมรักษาความปลอดภัยของ DigitalOcean เป็นผู้ค้นพบ และทำการสกัดกั้นพฤติกรรมที่น่าสงสัยของเซสชัน administrator WordPress ซึ่งมีต้นทางมาจากนอกเครือข่ายที่ไม่น่าเชื่อถือ

ในเวลาต่อมา ทีมสืบสวนได้ทำการทดสอบจำลองการหลบเลี่ยงทั้งสองวิธีนี้ซ้ำอีกครั้งบนปลั๊กอิน miniOrange รุ่น Standard เวอร์ชัน 16.1.9 และได้แกะรอยช่องโหว่จนพบว่ามีสาเหตุมาจาก SAML validation logic ของตัวปลั๊กอิน รวมถึงไลบรารีความปลอดภัย XML ที่ถูกพ่วงติดมาด้วย

จากข้อมูลของ Patchstack เหตุการณ์นี้ยังได้เปิดเผยให้เห็นถึงปัญหาใหญ่ด้าน Visibility issue ที่ส่งผลกระทบต่อผู้ดูแลระบบ WordPress เนื่องจาก miniOrange มีการแยกจำหน่ายปลั๊กอินเป็นรุ่นต่าง ๆ ถึง 7 รุ่น โดยที่ทั้งหมดใช้ชื่อ Slug เดียวกันคือ miniorange-saml-20-single-sign-on

ในตอนแรก ฐานข้อมูลบันทึกช่องโหว่สาธารณะครอบคลุมเฉพาะในเวอร์ชันใช้งานฟรีเท่านั้น ทำให้เวอร์ชันเสียเงินไม่ได้สำรวจ และไม่ปรากฏในประกาศเตือน หรือฐานข้อมูลช่องโหว่ ส่งผลให้ระบบที่ติดตั้งเวอร์ชันเสียเงินหลายแห่งดูเหมือนว่าได้รับการอัปเดตแพตช์เรียบร้อยแล้ว ทั้งที่จริง ๆ แล้วยังคงรันเวอร์ชันที่มีช่องโหว่อยู่

สำหรับรุ่น Standard ทาง miniOrange ได้แก้ไขช่องโหว่ CVE-2026-61979 ในเวอร์ชัน 17.0.5 และช่องโหว่ CVE-2026-15981 ในเวอร์ชัน 17.0.6 อย่างไรก็ตาม ระบบในซีรีส์ 16.x ที่ได้รับผลกระทบอาจไม่ได้รับการแจ้งเตือนการอัปเดตผ่านหน้าแดชบอร์ดของ WordPress

ผู้ดูแลระบบอาจจำเป็นต้องอัปโหลดแพ็กเกจไฟล์ปลั๊กอินที่ได้รับการแก้ไขแล้วด้วยตนเอง เพื่ออัปเกรดไปยังเวอร์ชัน 17.x ที่ปลอดภัย ทีมรักษาความปลอดภัยควรตรวจสอบรุ่นผลิตภัณฑ์ miniOrange ที่ใช้งานอยู่ให้แน่ชัด และยืนยันว่าได้รับการอัปเกรดเป็นเวอร์ชันที่มีการแพตช์จากผู้ผลิตแล้ว

นอกจากนี้ ผู้ดูแลควรตรวจสอบ Logs การใช้งานของ WordPress, เว็บเซิร์ฟเวอร์ และระบบ Identity logs เพื่อค้นหาประวัติการล็อกอินในเซสชันของผู้ดูแลระบบที่มาจาก IP address ที่ผิดปกติ หรือไม่น่าเชื่อถือ

ทาง DigitalOcean ได้ตรวจพบความพยายามสแกนหาช่องโหว่จากหลายแหล่ง ทั้งจากระบบคลาวด์, โฮสติ้ง, VPN และ IP ของเครือข่ายโทรศัพท์มือถือ ซึ่งแสดงให้เห็นว่ารูปแบบนี้เป็นการโจมตีแบบฉวยโอกาส มากกว่าจะเป็นแคมเปญการโจมตีแบบมุ่งเป้าเจาะจง

ช่องโหว่เหล่านี้แสดงให้เห็นอย่างชัดเจนว่า เหตุใดการติดตามเวอร์ชันของปลั๊กอินจึงต้องแยกตามรุ่น Commercial editions ควบคู่ไปด้วย ไม่ใช่พึ่งพาแค่ข้อมูลที่แชร์บนหน้าของ WordPress.org เพียงอย่างเดียว เมื่อใดก็ตามที่ผู้ผลิตทำการออกแพตช์ให้เวอร์ชันเสียเงินโดยไม่มีการออกประกาศเตือนแบบ Public หรือไม่มีช่องทางการอัปเดตที่ชัดเจน เครื่องมือสแกนช่องโหว่, หน้าแดชบอร์ดควบคุม และตัวผู้ดูแลระบบเอง ก็อาจได้รับสัญญาณที่ทำให้เข้าใจผิดไปว่าระบบของตนนั้นปลอดภัยแล้ว

ที่มา: cybersecuritynews