Riesgo crítico de omisión de autenticación en entornos corporativos de WordPress
Recientes informes de seguridad han puesto de manifiesto una campaña activa de ciberataques dirigida a sitios web de WordPress que utilizan el plugin miniOrange SAML 2.0 Single Sign On. Esta herramienta, fundamental para muchas empresas que integran sus sitios web con sistemas de identidad corporativa como Microsoft Entra ID, Okta o Google Workspace, presenta dos vulnerabilidades críticas que están siendo explotadas para suplantar identidades administrativas.
Análisis técnico: ¿Cómo operan los atacantes?
El ataque se basa en el encadenamiento de dos fallos de seguridad identificados como CVE-2026-61979 y CVE-2026-15981. El núcleo del problema reside en cómo el plugin valida las respuestas SAML (Security Assertion Markup Language) entrantes:
- Manipulación de algoritmos (CVE-2026-61979): El plugin acepta el algoritmo de firma propuesto por la respuesta SAML en lugar de imponer uno seguro preconfigurado. Esto permite a un atacante seleccionar HMAC-SHA1, lo que provoca que el sistema trate la clave pública RSA del proveedor de identidad como si fuera un secreto compartido, facilitando la falsificación de firmas.
- Gestión deficiente de errores (CVE-2026-15981): El sistema interpreta incorrectamente un error de verificación de OpenSSL (-1) como un resultado exitoso, permitiendo que firmas malformadas superen la validación de seguridad.
Al combinar ambos fallos, un actor de amenazas puede generar una respuesta SAML fraudulenta y obtener acceso total al panel de administración de WordPress sin poseer credenciales legítimas.
El peligro de las versiones de pago
Uno de los aspectos más preocupantes de este incidente es la gestión de la comunicación por parte del proveedor. Aunque los parches se lanzaron en julio, los avisos de seguridad se centraron principalmente en la versión gratuita. Esto ha dejado a miles de usuarios de las seis ediciones de pago (Premium, Standard, Enterprise, etc.) sin notificaciones automáticas en sus paneles de control, creando una falsa sensación de seguridad.
Según la firma de seguridad Patchstack, ya se han detectado intentos de explotación desde direcciones IP en Europa, África y Estados Unidos. Además, la existencia de una prueba de concepto (PoC) pública aumenta exponencialmente el riesgo de ataques masivos en los próximos días.
Recomendaciones de seguridad para empresas
Desde el departamento de ciberseguridad de Intedya, instamos a los responsables de IT y propietarios de sitios WordPress a tomar las siguientes medidas inmediatas:
- Actualización manual obligatoria: Dado que las versiones de pago pueden no mostrar avisos de actualización automática, es imperativo verificar y actualizar manualmente el plugin a las versiones corregidas (Free 5.4.5, Premium 13.0.4, Standard 17.06, Enterprise 26.0.3, o superiores según la edición).
- Auditoría de sesiones: Revisar los registros de acceso en busca de sesiones administrativas anómalas o creadas desde ubicaciones geográficas no habituales.
- Revisión de plugins de autenticación: Evaluar si las soluciones de Single Sign On implementadas siguen las mejores prácticas de seguridad y mantienen sus bibliotecas de validación criptográfica actualizadas.
La seguridad de la identidad es el perímetro moderno de las organizaciones. Mantener actualizados los componentes que gestionan el acceso es vital para prevenir brechas de datos que puedan comprometer la continuidad del negocio.
Fuentes
- Bleeping Computer — Hackers target WordPress sites in miniOrange auth bypass attacks
https://www.bleepingcomputer.com/news/security/hackers-target-wordpress-sites-in-miniorange-auth-bypass-attacks/