「WordPressの管理画面に更新通知がないから大丈夫」とは限りません。2026年8月21日のPatchstackの報告は、miniOrange SAML 2.0 Single Sign Onの複数エディションで、脆弱性の情報や更新案内が行き届いていなかった問題を説明しています。この記事は当時の事例をもとに、企業サイトのログイン連携で確認したいポイントを整理したものです。
SSOの本人確認をすり抜ける二つの問題
対象はCVE-2026-61979とCVE-2026-15981です。SAMLによるシングルサインオン（SSO）は、組織で使う認証の仕組みを通じてWordPressへログインできるようにする連携です。この事例では、その本人確認に使う電子署名の検証に問題がありました。両者は同じ製品・連携の確認が必要なため、一つの記事として扱います。
Patchstackは、認証していない攻撃者が既存の管理者を含む利用者としてログインできると説明しています。正規のパスワードを盗む攻撃とは別に、本人であることを確認する仕組み自体をすり抜ける「認証回避」です。脆弱な版で該当するSAMLログイン連携を利用しているかが確認対象であり、WordPressの通常ログインすべてに同じ問題があるわけではありません。
同じ製品名でも、修正版の番号は異なる
報告では、一つのプラグイン識別名の下に、独立したバージョン番号を持つ七つのエディションがあることが問題になりました。無料版の番号だけを有料版と比べても判定できません。例えばStandard単一サイト版では、署名アルゴリズムの問題は17.0.5、署名検証エラーの扱いの問題は17.0.6で修正されました。そのため、二つをまとめて確認するなら17.0.5で止めないことが重要です。
当該報告のエディション別修正表では、Free単一サイト版は5.4.5、Premium単一サイト版は13.0.4、Enterprise／All-Inclusive単一サイト版は26.0.3など、最低修正版が異なります。対象範囲もエディション別です。全エディションの表は一次資料で照合し、現在配布されている版と更新経路を開発元へ確認してください。ここに記した数字は当該問題の修正版で、現在最新版の一覧ではありません。
企業の担当者が確認する順番
最初に、無料・有料の別、正式な契約プラン、単一サイト・マルチサイトの別、インストール版を記録します。次に、ライセンスを管理する人と購入元の連絡先を確認します。同じ名前のプラグインが管理画面に見えるだけでは、適切な更新ファイルを選べません。通知がない場合にも、更新不要と決めつけず、配布元の案内までたどる必要があります。
SSOの更新は、サイトの表示だけでなく社員や管理者のログインにも影響します。検証環境で認証連携を確認し、更新中に管理者が締め出された場合の正規の復旧経路も準備します。連携先の管理者とWordPressの保守担当者が別なら、作業日時、確認役、異常時の連絡方法をそろえておくと混乱を減らせます。
「通知なし」を「安全」と読み替えない保守へ
更新後は認証ログや管理者操作を確認し、意図しないログインや変更がないかを点検します。不正アクセスが疑われる場合、修正版を入れたことと、侵入後の影響を取り除いたことは分けて判断します。技術担当者による調査が必要です。
この事例から分かるのは、保守が更新ボタンを押す作業だけではないことです。製品名、エディション、契約、認証連携の構成を把握して初めて、必要な修正へたどり着けます。制作会社や保守会社に任せる際にも、誰がどの情報を保管するかを決めておくことが、緊急時の確認を早めます。