Une nouvelle alerte de sécurité concerne WordPress.

Le plugin miniOrange SAML Single Sign On – SSO Login, utilisé pour mettre en place une authentification SSO via des fournisseurs comme Microsoft Entra ID, Google Workspace, Okta, Keycloak ou Salesforce, a été touché par deux vulnérabilités critiques d’authentification.

Les failles identifiées sous les références CVE-2026-61979 et CVE-2026-15981 peuvent permettre à un attaquant non authentifié de contourner la validation SAML et, dans certaines configurations vulnérables, de se connecter à un compte WordPress existant, y compris un compte administrateur. Patchstack indique également avoir observé des tentatives d’exploitation dans la nature.

Si vous utilisez miniOrange SAML WordPress, la priorité est donc simple :

vérifiez immédiatement votre édition et votre version, appliquez le correctif approprié et contrôlez les journaux ainsi que les comptes administrateurs.

Dans ce guide DigitalBoxTech, nous allons voir ce qui s’est passé, pourquoi ces failles sont particulièrement dangereuses et quelles actions effectuer immédiatement.

Qu’est-ce que miniOrange SAML Single Sign On ?

Le plugin SAML Single Sign On – SSO Login de miniOrange permet d’utiliser le protocole SAML 2.0 pour connecter WordPress à un fournisseur d’identité externe.

Au lieu de créer un mot de passe WordPress supplémentaire, l’utilisateur peut s’authentifier via un système déjà utilisé par l’entreprise, par exemple :

• Microsoft Entra ID / Azure AD ;
• Google Workspace ;
• Okta ;
• Keycloak ;
• Salesforce ;
• OneLogin ;
• ADFS ;
• Auth0.

WordPress.org indique actuellement plus de 10 000 installations actives pour l’édition publique du plugin.

Le principe du SSO est normalement très intéressant pour les entreprises : centraliser l’authentification peut faciliter la gestion des utilisateurs et renforcer la sécurité.

Mais lorsqu’une vulnérabilité touche précisément le mécanisme chargé de valider l’identité, les conséquences peuvent être majeures.

Pourquoi ces failles miniOrange SAML WordPress sont critiques

SAML fonctionne sur une relation de confiance.

Lorsqu’un utilisateur se connecte, le fournisseur d’identité transmet au site WordPress une SAMLResponse contenant notamment des informations permettant d’identifier l’utilisateur.

Le site doit impérativement vérifier que cette réponse est authentique.

Cela implique notamment de contrôler :

• la signature ;
• l’émetteur ;
• le destinataire ;
• l’identité de l’utilisateur ;
• les différents paramètres de sécurité de l’assertion.

Les deux vulnérabilités découvertes affectent précisément cette chaîne de validation.

CVE-2026-15981 : une erreur OpenSSL considérée comme une signature valide

La vulnérabilité CVE-2026-15981 concerne la validation cryptographique d’une réponse SAML.

Selon la fiche NVD, la fonction concernée utilisait incorrectement le résultat de openssl_verify().

Cette fonction PHP peut retourner trois valeurs :

• 1 : signature valide ;
• 0 : signature invalide ;
• -1 : erreur OpenSSL.

Le problème venait du fait que la valeur -1 pouvait être évaluée comme vraie dans le contrôle effectué par le plugin.

Un attaquant pouvait donc provoquer volontairement une erreur cryptographique et faire interpréter cette erreur comme une validation réussie.

La NVD indique que cela pouvait permettre à un attaquant non authentifié de construire une SAMLResponse contenant un NameID contrôlé et de se connecter en tant qu’utilisateur WordPress existant, y compris administrateur.

Versions publiques concernées

La fiche NVD indique que l’édition publique est vulnérable jusqu’à la version 5.4.4 incluse.

Le changelog WordPress.org indique ensuite :

• 5.4.5 : correction d’un problème d’accès non autorisé ;
• 5.4.6 : amélioration de la gestion des erreurs SAML ;
• 5.4.7 : nouvelle amélioration de sécurité et compatibilité WordPress 7.1.

CVE-2026-61979 : confusion autour de l’algorithme de signature

La seconde faille, CVE-2026-61979, repose sur un autre problème de validation.

Patchstack explique qu’un attaquant pouvait influencer l’algorithme de signature utilisé par la réponse SAML et provoquer une situation où une clé publique RSA pouvait être utilisée de manière incorrecte comme secret HMAC.

Or une clé publique est, par définition, publique.

L’attaquant pouvait donc fabriquer une assertion semblant valide alors qu’elle ne provenait pas réellement du fournisseur d’identité de confiance.

Dans les scénarios vulnérables, la conséquence était là encore particulièrement grave :

contournement de l’authentification SAML et possibilité de se faire passer pour un utilisateur WordPress existant.

Attention : miniOrange existe en plusieurs éditions

C’est un point particulièrement important.

Le problème ne concerne pas seulement une version unique du plugin.

Patchstack explique que le même plugin WordPress correspond en réalité à plusieurs éditions commerciales utilisant des branches de versions différentes.

Cela signifie qu’un administrateur utilisant une édition payante peut voir une version en 16.x ou 17.x, alors que l’édition gratuite utilise actuellement des versions 5.x.

Patchstack indique notamment que, pour l’édition Standard analysée :

• CVE-2026-61979 a été corrigée en 17.0.5 ;
• CVE-2026-15981 a été corrigée en 17.0.6.

Cela explique pourquoi la recommandation :

« mettez simplement à jour vers 5.4.7 »

n’est correcte que pour l’édition gratuite disponible sur WordPress.org.

La vulnérabilité CVE-2026-15981 est également documentée dans la base officielle NVD, qui détaille son impact et les versions concernées.

Si vous utilisez une édition payante

Vérifiez :

1. l’édition exacte utilisée ;
2. votre numéro de version ;
3. le portail miniOrange ;
4. les correctifs disponibles pour votre licence.

Patchstack souligne également que certaines éditions commerciales peuvent nécessiter une mise à jour manuelle, sans notification classique dans le tableau de bord WordPress.

Le plugin SAML Single Sign On – SSO Login est disponible sur le répertoire officiel WordPress, où vous pouvez vérifier sa version actuelle, son changelog et ses informations de compatibilité.

Des tentatives d’exploitation ont été observées

Le risque n’est pas uniquement théorique.

Patchstack rapporte que des tentatives d’exploitation ont été observées sur Internet et décrit une activité de scan opportuniste visant les endpoints miniOrange SSO.

Autrement dit, les attaquants semblent rechercher automatiquement des sites susceptibles d’utiliser le plugin plutôt que de viser uniquement une entreprise spécifique.

C’est précisément le type de situation dans laquelle il ne faut pas attendre.

Une vulnérabilité critique connue publiquement peut rapidement être intégrée à des outils d’attaque automatisés.

Que faire si vous utilisez miniOrange SAML WordPress

1. Vérifiez immédiatement la version installée

Dans WordPress :

Extensions → Extensions installées

Recherchez :

SAML Single Sign On – SSO Login

Notez :

• l’édition ;
• la version ;
• la date de mise à jour.

Pour l’édition gratuite WordPress.org, la version actuelle est 5.4.7.

2. Mettez à jour vers la dernière version disponible

Si vous utilisez l’édition gratuite :

mettez à jour au minimum vers la version corrigée et, idéalement, vers la dernière version disponible, actuellement 5.4.7.

Si vous utilisez une édition commerciale, vérifiez impérativement la branche correspondant à votre offre.

Ne supposez pas qu’un numéro de version plus élevé signifie automatiquement que vous êtes protégé.

3. Faites une sauvegarde avant la mise à jour

Avant toute intervention importante :

• sauvegardez les fichiers ;
• sauvegardez la base de données ;
• conservez une copie externe.

Comme il s’agit d’un plugin d’authentification, une mise à jour peut éventuellement modifier le comportement du SSO.

Une sauvegarde permet de revenir rapidement à un état fonctionnel si nécessaire.

4. Testez le SSO après la mise à jour

Ne vous contentez pas de cliquer sur « Mettre à jour ».

Testez ensuite :

• connexion utilisateur ;
• connexion administrateur ;
• redirection depuis le fournisseur d’identité ;
• déconnexion ;
• accès aux zones protégées.

Si possible, réalisez d’abord l’opération sur un environnement de staging pour un site critique.

5. Vérifiez tous les administrateurs WordPress

Comme les vulnérabilités peuvent permettre une usurpation d’identité, vérifiez immédiatement :

Utilisateurs → Tous les utilisateurs

Contrôlez tous les comptes disposant du rôle Administrateur.

Recherchez :

• comptes inconnus ;
• adresses email inhabituelles ;
• comptes créés récemment ;
• comptes administrateurs inutilisés.

Si vous découvrez un compte suspect, documentez-le avant suppression.

6. Examinez les journaux de connexion

Si votre hébergeur ou votre plugin de sécurité conserve des logs, cherchez :

• connexions inhabituelles ;
• connexions administrateur à des heures anormales ;
• adresses IP inconnues ;
• appels répétés aux endpoints SAML ;
• créations ou modifications d’utilisateurs.

Une absence de preuve d’intrusion ne garantit pas forcément qu’aucune exploitation n’a eu lieu, surtout si les logs sont conservés peu longtemps.

7. Vérifiez les modifications apportées au site

Si un attaquant a obtenu un accès administrateur, il peut avoir installé une persistance.

Contrôlez notamment :

• plugins récemment installés ;
• thèmes ;
• utilisateurs ;
• tâches planifiées ;
• fichiers modifiés ;
• wp-config.php ;
• dossier wp-content/uploads ;
• base de données.

Un attaquant peut également ajouter une backdoor afin de revenir après la correction de la vulnérabilité.

Votre site a peut-être déjà été compromis : que faire ?

Une simple mise à jour ne suffit pas si l’attaque a déjà réussi.

Dans ce cas, il faut traiter la situation comme un véritable incident de sécurité.

La logique devient :

contenir → analyser → nettoyer → corriger → surveiller

Vous pouvez consulter notre guide complet consacré aux actions à effectuer lorsqu’un site WordPress est piraté afin de vérifier les fichiers, utilisateurs, sauvegardes et éventuelles portes dérobées.

Faut-il désactiver miniOrange immédiatement ?

Pas nécessairement si :

• vous disposez d’une version corrigée ;
• le SSO est nécessaire à votre organisation ;
• vous pouvez appliquer la mise à jour rapidement.

En revanche, si :

• votre édition ne dispose pas encore du correctif ;
• vous ne pouvez pas identifier précisément votre version ;
• le plugin n’est plus réellement utilisé ;

une désactivation temporaire peut être envisagée après vérification des conséquences sur les utilisateurs.

Ne désactivez pas aveuglément un système SSO critique en production sans prévoir une autre méthode d’accès administrateur.

Le SSO reste-t-il une bonne pratique ?

Oui.

Cette vulnérabilité ne signifie pas que le SAML ou le SSO sont intrinsèquement mauvais.

Un SSO correctement configuré apporte de vrais avantages :

• centralisation des comptes ;
• révocation simplifiée ;
• moins de mots de passe ;
• gestion des accès par l’entreprise ;
• possibilité d’ajouter MFA et politiques d’accès.

Le problème vient ici d’une validation incorrecte de réponses SAML, pas du principe même du Single Sign-On.

Comment réduire les risques à l’avenir ?

Mettre les plugins à jour rapidement

Les extensions liées à :

• authentification ;
• utilisateurs ;
• e-commerce ;
• formulaires ;
• API ;

doivent recevoir une attention particulière.

Activer la 2FA

Même avec un SSO, configurez une authentification forte au niveau du fournisseur d’identité lorsque c’est possible.

Limiter les administrateurs

Un compte compromis ne peut pas obtenir des privilèges que le compte ciblé ne possède pas.

Gardez donc le moins possible de comptes administrateurs.

Conserver des journaux

Les logs permettent de comprendre :

• qui s’est connecté ;
• quand ;
• depuis quelle adresse ;
• quelles actions ont été effectuées.

Supprimer les plugins inutilisés

Un plugin désactivé mais toujours présent peut parfois constituer une surface d’attaque.

Si vous ne l’utilisez plus, supprimez-le.

Tableau récapitulatif

FAQ miniOrange SAML WordPress

Conclusion : vérifiez miniOrange SAML maintenant

Les vulnérabilités CVE-2026-61979 et CVE-2026-15981 rappellent pourquoi les plugins d’authentification doivent être considérés comme des composants particulièrement sensibles.

Dans ce cas, le problème touche directement la validation d’une SAMLResponse et peut permettre le contournement de l’authentification.

Le bon réflexe est donc immédiat :

1. identifiez votre édition miniOrange ;
2. vérifiez votre version ;
3. installez le correctif approprié ;
4. testez le SSO ;
5. contrôlez les administrateurs ;
6. examinez les journaux ;
7. recherchez toute modification suspecte.

Le plugin public disponible sur WordPress.org est actuellement en version 5.4.7 et le changelog confirme plusieurs correctifs de sécurité récents.

Si des signes de compromission apparaissent, ne vous contentez pas de mettre l’extension à jour : réalisez un véritable diagnostic de sécurité du site.