Eigentlich soll ein Single-Sign-On-Plugin den Login sicherer und einfacher machen. Bei „OAuth Single Sign-On – SSO OAuth Client” von miniOrange ist aktuell das Gegenteil der Fall: Eine kritische Sicherheitslücke erlaubt es, sich ohne Zugangsdaten als Administrator anzumelden – und einen Patch gibt es bisher nicht.
Was genau das Problem ist
Die Lücke trägt die Kennung CVE-2026-57807 und wurde am 9. Juli 2026 über die Sicherheitsdatenbank Patchstack veröffentlicht [Patchstack]. Sie ist als Authentication Bypass eingestuft (CWE-288, „Alternate Path or Channel”) und steckt im Passwort-Wiederherstellungs-Mechanismus des Plugins [TheHackerWire]. Der CVSS-Score liegt bei 9.8 von 10 – also nahe am theoretischen Maximum [GBHackers].
Betroffen sind alle Plugin-Versionen bis einschließlich 38.5.8 [Cyber Security News]. Entdeckt hat die Lücke der Sicherheitsforscher Kim Dvash, gemeldet wurde sie bereits am 6. Juni 2026 – veröffentlicht wurde sie also mit einigem zeitlichen Abstand zur Meldung [TheHackerWire].
Warum das so gefährlich ist
Ein Angriff funktioniert ohne Zugangsdaten, ohne Interaktion einer Nutzerin oder eines Nutzers und lässt sich automatisiert gegen viele Websites gleichzeitig fahren [GBHackers]. Wer die Lücke ausnutzt, verschafft sich direkt Administratorzugriff – danach ist die komplette Website kompromittiert, nicht nur ein einzelnes Konto.
Was du jetzt tun solltest
- Prüfen, ob „OAuth Single Sign-On” bzw. „SSO OAuth Client” von miniOrange bei dir aktiv ist (Plugin-Übersicht im WordPress-Backend).
- Wenn ja: Plugin deaktivieren, solange kein offizieller Patch vorliegt. Ein Login-Plugin ohne Login-Sicherheit ist kein Login-Plugin mehr.
- Login-Logs und Benutzerliste kontrollieren – insbesondere auf neue, unbekannte Administrator-Konten.
- Falls eine Deaktivierung kurzfristig nicht möglich ist: SSO-bezogenen Traffic auf Firewall- oder Hosting-Ebene einschränken, bis ein Update erscheint.
- Danach regelmäßig prüfen, ob miniOrange einen Fix veröffentlicht – aktuell (Stand dieses Beitrags) gibt es noch keinen offiziellen Workaround vom Hersteller.
Was mich an solchen Fällen immer wieder erstaunt: Es ist ausgerechnet ein „Sicherheits-Plugin”, das zum Einfallstor wird. Das ist kein Einzelfall – Login- und Zugriffs-Plugins gehören grundsätzlich zu den sensibelsten Komponenten einer Website, weil ein Fehler dort sofort das ganze System betrifft. Ich schaue mir bei jeder Wartung gezielt an, welche Plugins Zugriff auf Login und Benutzerverwaltung haben, nicht nur, ob WordPress selbst aktuell ist.
Häufige Fragen
Reicht es, das Plugin zu aktualisieren?
Nein, aktuell gibt es keinen Patch. Die einzige verlässliche Absicherung ist derzeit die Deaktivierung des Plugins.
Betrifft mich das auch, wenn ich das Plugin nur für einzelne Logins nutze?
Ja. Die Lücke liegt im Passwort-Wiederherstellungs-Mechanismus des Plugins selbst, unabhängig davon, wie viele Logins darüber laufen.
Woran erkenne ich, ob ich schon betroffen war?
Ein Blick in die Benutzerliste und die Login-Historie auf unbekannte Administrator-Konten oder ungewöhnliche Login-Zeiten ist ein erster Schritt. Im Zweifel lohnt sich eine genauere Prüfung durch jemanden, der sich mit WordPress-Sicherheit auskennt.
Falls du unsicher bist, ob dieses oder ein ähnliches Plugin bei dir läuft, oder grundsätzlich jemanden suchst, der ein Auge auf solche Sicherheitsmeldungen hat: Das ist Teil meiner WordPress-Wartung. Schreib mir gerne über die Kontaktseite.