検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

WSO2 API Manager などの CVE-2026-5430: JWT の署名アルゴリズム検証の不備で認証なしに不正アクセス、CISA KEV 掲載・CVSS 10.0

World Security 編集部
目次（5）

CVE-2026-5430

WSO2 API Manager、API Control Plane、Traffic Manager、Universal Gateway に、JWT 認証の検証不備（CWE-347）CVE-2026-5430 が見つかりました。設定されていない、または未対応の署名アルゴリズムで署名したトークンを正当なものとして受け入れてしまい、認証なしで不正アクセスされる可能性があります。管理者アカウントの侵害やアカウント乗っ取りに至る可能性もあるとされています。CISA は 2026-09-24 に KEV（悪用が確認された脆弱性）カタログへ追加しました。WSO2（CNA）の CVSS v3.1 は 10.0（AV:N/AC:L/PR:N/UI:N/S:C）で、単一テナント構成では 9.8 に調整されると説明されています。

概要

項目内容
CVECVE-2026-5430
製品WSO2 API Manager、API Control Plane、Traffic Manager、Universal Gateway、および Carbon API Manager の REST API ユーティリティ
問題JWT 認証が、設定・対応していない署名アルゴリズムで署名されたトークンを誤って有効と判定する（CWE-347）
攻撃条件ネットワーク経由。認証・ユーザー操作は不要
結果不正アクセス、管理者アカウントの侵害、アカウント乗っ取りの可能性
悪用状況CISA KEV に 2026-09-24 追加（対応期限 2026-09-27）。ランサムウェア攻撃での利用は「不明」
  • 細工した JWT を送るだけで検証をすり抜けるため、API ゲートウェイや管理 API がインターネットに公開されている環境ほど危険度が高くなります。
  • CISA の KEV では、同じ CVE が「パストラバーサル（不正なファイルアップロードからのリモートコード実行の可能性）」として記載されています。NVD の説明（JWT の検証不備）とは内容が異なっており、どちらが実際の悪用内容を指すのかは未確認です。

影響範囲

WSO2（CNA）が NVD に登録した対象データでは、次の版が影響を受けるとされています（括弧内の版より前）。

  • API Manager: 4.1.0 系は 4.1.0.257、4.2.0 系は 4.2.0.197、4.3.0 系は 4.3.0.108、4.4.0 系は 4.4.0.72、4.5.0 系は 4.5.0.57、4.6.0 系は 4.6.0.21
  • Universal Gateway: 4.5.0 系は 4.5.0.57、4.6.0 系は 4.6.0.21
  • Traffic Manager: 4.5.0 系は 4.5.0.56、4.6.0 系は 4.6.0.21
  • API Control Plane: 4.5.0 系は 4.5.0.58、4.6.0 系は 4.6.0.22
  • Carbon API Manager REST API ユーティリティ: 9.20.74 系は 9.20.74.401、9.28.116 系は 9.28.116.417、9.29.120 系は 9.29.120.236、9.30.67 系は 9.30.67.167、9.31.86 系は 9.31.86.158、9.32.147 系は 9.32.147.59（9.33.106 は影響なし）

4.1.0 より前の API Manager は、状態が「不明」とされています。サポート対象外の古い版を使っている場合は、影響の有無をベンダーに確認してください。

修正と対策

  • 上記の修正済みの版（更新レベル）へ更新する。 版ごとに必要な更新レベルが異なるため、使用中の版に対応するものを WSO2 のセキュリティ情報で確認する。
  • CISA の指示に従い、ベンダーの手順に沿った緩和策を適用する。緩和策が提供されていない場合は、製品の使用を中止する。
  • 管理 API・ゲートウェイをインターネットから直接到達できる状態にしていないかを確認し、必要のない公開は止める。
  • 期限（2026-09-27）はすでに過ぎています。侵害が疑われる場合は、CISA のフォレンジック初動調査の要請に沿って、アクセスログと発行された JWT の利用状況を調べる。
  • 管理者アカウントの不審な操作や、見覚えのないトークン・アカウントの作成がないかを点検する。

数値と出典（2026-11-03 時点）

項目内容
NVD の状態Analyzed
CVSS v3.110.0（WSO2 による。AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）。NIST 自身の評価は未掲載
CWECWE-347（暗号署名の不適切な検証）
EPSS0.2239（パーセンタイル 0.9770、FIRST、2026-11-02 時点）
KEV掲載あり（2026-09-24 追加、対応期限 2026-09-27、ランサムウェア利用は不明）
出典NVD、WSO2 のセキュリティ勧告（WSO2-2026-5328）、FIRST、CISA

未確認の点

  • WSO2 の勧告本文は、閲覧時にボット対策の画面が表示され取得できなかった。内容は NVD の WSO2 登録データに基づく。
  • 実際の攻撃の経路・規模・標的。KEV の記載（パストラバーサル）と NVD の説明（JWT の検証不備）の食い違いの理由。
  • ランサムウェア攻撃での利用（CISA は「不明」）。
  • 4.1.0 より前の API Manager への影響。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事