CVE-2026-15981: Kritisk fejl i SAML SSO-plugin
Kritisk godkendelsesfejl i WordPress-pluginet SAML Single Sign On – SSO Login lader angribere logge ind som administrator uden kodeord. Opdatér pluginet nu.
Hvad er det?
Pluginet SAML Single Sign On – SSO Login til WordPress bruges til at koble websites op på en central loginløsning, kaldet SAML, hvor brugere logger ind én gang og får adgang flere steder. CVE-2026-15981 er en godkendelsesomgåelse, der findes i CWE-287, hvor sikkerhedskontroller til at bekræfte en brugers identitet fejler. Funktionen mo_saml_validate_signature() tjekker ikke resultatet fra PHP-funktionen openssl_verify() korrekt: en fejlkode på minus 1 bliver fejlagtigt tolket som en gyldig signatur. En angriber kan derfor sende en forfalsket SAML-besked med et selvvalgt brugernavn og en bevidst fejlbehæftet signatur og blive logget ind som den valgte bruger, herunder administratorer.
Hvem rammer det?
Alle WordPress-sites, der bruger pluginet SAML Single Sign On – SSO Login i version 5.4.4 eller ældre, er ramt. Det gælder typisk virksomheder og kommuner, der har koblet deres website eller medarbejderportal op på en ekstern loginudbyder, fx Azure AD eller ADFS, for at give medarbejdere eller kunder adgang med ét login. Både redaktionelle sites og kundeportaler med SSO-funktionen er udsat.
Hvad kan ske?
En angriber uden kendskab til brugernavn eller kodeord kan logge ind som en hvilken som helst eksisterende bruger, inklusive administratorer. Det giver fuld kontrol over WordPress-sitet: mulighed for at ændre indhold, oprette nye administratorkonti, installere skadelig kode eller hente data om kunder og medarbejdere ud af systemet.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet sker over netværket, kræver ingen login og ingen handling fra en bruger, og kompleksiteten er lav, så det kræver ikke særlig teknisk indsigt at udføre. Konsekvensen er fuld, fordi angriberen kan læse, ændre og forstyrre driften af sitet. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen, men den tekniske beskrivelse er offentligt tilgængelig og detaljeret nok til, at et angreb kan bygges direkte fra den.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, hvis I allerede er ramt.
- Opdatér pluginet SAML Single Sign On – SSO Login til nyeste version via WordPress-administrationen eller WordPress.org. Det lukker selve fejlen.
- Kan opdateringen ikke ske med det samme, deaktivér SAML-loginfunktionen midlertidigt, så almindeligt brugernavn og kodeord bruges i stedet.
- Gennemgå loginlogs for usædvanlige logins, især på administratorkonti, siden 23. juli 2026.
- Skift adgangskoder på administratorkonti og aktivér to-faktor-godkendelse, hvor det er muligt.
- Kontakt os eller en anden sikkerhedspartner, hvis I ikke selv kan afgøre om I er ramt, eller hvis I finder tegn på uautoriseret adgang.
Opdatér inden for 24 timer
Vi anbefaler at opdatere pluginet med det samme, fordi angrebet ikke kræver login eller brugerhandling og kan udføres af enhver med netværksadgang til sitet. Det er ikke forsvarligt at vente til en planlagt opdateringsrunde eller en weekend. Er opdatering ikke muligt inden for et døgn, bør SSO-funktionen deaktiveres, til den kan opdateres.
Tidslinje
Konkrete eksempler
Medarbejderportal med SSO-login
En dansk kommune bruger WordPress til en medarbejderportal koblet op på deres identitetsudbyder via SAML Single Sign On – SSO Login. En angriber sender en forfalsket SAML-besked med administratorens brugernavn og en fejlbehæftet signatur og bliver logget ind som administrator uden kodeord. Herfra oprettes en ny skjult administratorkonto, og portalens indhold ændres til at sprede skadelig kode til besøgende.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
Hvis jeres WordPress-site bruger pluginet SAML Single Sign On – SSO Login i version 5.4.4 eller ældre, er I ramt. Nyere versioner er ikke berørt.
Hvordan tjekker vi hvilken version vi har?
Log ind i WordPress-administrationen, gå til Plugins, og se versionsnummeret ved siden af SAML Single Sign On – SSO Login.
Kan vi vente til weekenden med at opdatere?
Nej. Angrebet kræver hverken login eller nogen handling fra en medarbejder, og det er teknisk enkelt at udføre. Vi anbefaler at opdatere samme dag.
Kan vi bare deaktivere pluginet i stedet for at opdatere?
Ja, som en midlertidig løsning. Deaktivering fjerner sårbarheden, men SSO-login stopper med at virke, indtil pluginet er opdateret og aktiveret igen.
Hvordan ved vi, om vi allerede er blevet udnyttet?
Tjek loginlogs for administratorlogins fra ukendte IP-adresser eller på tidspunkter, hvor ingen medarbejder normalt er logget på. Se også efter nye, ukendte administratorkonti.
Skal vi anmelde det, hvis vi finder tegn på angreb?
Hvis persondata er blevet tilgået eller kompromitteret, skal I anmelde det til Datatilsynet inden 72 timer efter, I bliver bekendt med det.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The SAML Single Sign On – SSO Login plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 5.4.4. This is due to the mo_saml_validate_signature() function performing a loose boolean check on the raw tri-state integer returned by PHP’s openssl_verify(), causing an error return value of -1 to be evaluated as truthy and therefore treated as a successful signature verification. This makes it possible for unauthenticated attackers to log in as any existing WordPress user, including administrators, by submitting a crafted SAMLResponse containing an attacker-controlled NameID and a deliberately malformed signature value that triggers an OpenSSL processing error — bypassing verification entirely and resulting in wp_set_auth_cookie() being called for the targeted account.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.