--- title: "WSO2 API Manager などの CVE-2026-5430: JWT の署名アルゴリズム検証の不備で認証なしに不正アクセス、CISA KEV 掲載・CVSS 10.0" url: https://n-t-p.io/worldsecurity/articles/wso2-api-manager-jwt-algorithm-validation-bypass-kev-cve-2026-5430 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月3日 updated: 2026年11月3日 severity: 緊急 cve: CVE-2026-5430 --- # WSO2 API Manager などの CVE-2026-5430: JWT の署名アルゴリズム検証の不備で認証なしに不正アクセス、CISA KEV 掲載・CVSS 10.0 > **TL;DR:** WSO2 API Manager などで、JWT の署名アルゴリズムの検証不備により、細工したトークンで認証なしに不正アクセスされる可能性がある（CVE-2026-5430）。管理者アカウントの侵害に至る可能性もある。CISA KEV に 2026-09-24 追加。CVSS v3.1 10.0（WSO2 評価）、EPSS 0.22。修正済みの更新レベルへ更新する。 **要点** - JWT 認証が、未設定・未対応の署名アルゴリズムで署名されたトークンを有効と誤判定（CWE-347）。認証・ユーザー操作は不要 - CVSS v3.1 10.0（WSO2 評価、AV:N/PR:N）。単一テナント構成では 9.8。認証不要かつ 9 以上のため critical - CISA KEV に 2026-09-24 追加（対応期限 2026-09-27）。EPSS 0.2239（パーセンタイル 0.9770） - API Manager 4.1〜4.6 系などで修正済みの更新レベルあり。WSO2 勧告本文は未取得。KEV の説明（パストラバーサル）との食い違いは未確認 WSO2 API Manager、API Control Plane、Traffic Manager、Universal Gateway に、JWT 認証の検証不備（CWE-347）CVE-2026-5430 が見つかりました。設定されていない、または未対応の署名アルゴリズムで署名したトークンを正当なものとして受け入れてしまい、認証なしで不正アクセスされる可能性があります。管理者アカウントの侵害やアカウント乗っ取りに至る可能性もあるとされています。CISA は 2026-09-24 に KEV（悪用が確認された脆弱性）カタログへ追加しました。WSO2（CNA）の CVSS v3.1 は 10.0（AV:N/AC:L/PR:N/UI:N/S:C）で、単一テナント構成では 9.8 に調整されると説明されています。 ## 概要 | 項目 | 内容 | |---|---| | CVE | CVE-2026-5430 | | 製品 | WSO2 API Manager、API Control Plane、Traffic Manager、Universal Gateway、および Carbon API Manager の REST API ユーティリティ | | 問題 | JWT 認証が、設定・対応していない署名アルゴリズムで署名されたトークンを誤って有効と判定する（CWE-347） | | 攻撃条件 | ネットワーク経由。認証・ユーザー操作は不要 | | 結果 | 不正アクセス、管理者アカウントの侵害、アカウント乗っ取りの可能性 | | 悪用状況 | CISA KEV に 2026-09-24 追加（対応期限 2026-09-27）。ランサムウェア攻撃での利用は「不明」 | - 細工した JWT を送るだけで検証をすり抜けるため、API ゲートウェイや管理 API がインターネットに公開されている環境ほど危険度が高くなります。 - CISA の KEV では、同じ CVE が「パストラバーサル（不正なファイルアップロードからのリモートコード実行の可能性）」として記載されています。NVD の説明（JWT の検証不備）とは内容が異なっており、どちらが実際の悪用内容を指すのかは未確認です。 ## 影響範囲 WSO2（CNA）が NVD に登録した対象データでは、次の版が影響を受けるとされています（括弧内の版より前）。 - API Manager: 4.1.0 系は 4.1.0.257、4.2.0 系は 4.2.0.197、4.3.0 系は 4.3.0.108、4.4.0 系は 4.4.0.72、4.5.0 系は 4.5.0.57、4.6.0 系は 4.6.0.21 - Universal Gateway: 4.5.0 系は 4.5.0.57、4.6.0 系は 4.6.0.21 - Traffic Manager: 4.5.0 系は 4.5.0.56、4.6.0 系は 4.6.0.21 - API Control Plane: 4.5.0 系は 4.5.0.58、4.6.0 系は 4.6.0.22 - Carbon API Manager REST API ユーティリティ: 9.20.74 系は 9.20.74.401、9.28.116 系は 9.28.116.417、9.29.120 系は 9.29.120.236、9.30.67 系は 9.30.67.167、9.31.86 系は 9.31.86.158、9.32.147 系は 9.32.147.59（9.33.106 は影響なし） 4.1.0 より前の API Manager は、状態が「不明」とされています。サポート対象外の古い版を使っている場合は、影響の有無をベンダーに確認してください。 ## 修正と対策 - **上記の修正済みの版（更新レベル）へ更新する。** 版ごとに必要な更新レベルが異なるため、使用中の版に対応するものを WSO2 のセキュリティ情報で確認する。 - CISA の指示に従い、ベンダーの手順に沿った緩和策を適用する。緩和策が提供されていない場合は、製品の使用を中止する。 - 管理 API・ゲートウェイをインターネットから直接到達できる状態にしていないかを確認し、必要のない公開は止める。 - 期限（2026-09-27）はすでに過ぎています。侵害が疑われる場合は、CISA のフォレンジック初動調査の要請に沿って、アクセスログと発行された JWT の利用状況を調べる。 - 管理者アカウントの不審な操作や、見覚えのないトークン・アカウントの作成がないかを点検する。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | NVD の状態 | Analyzed | | CVSS v3.1 | 10.0（WSO2 による。AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）。NIST 自身の評価は未掲載 | | CWE | CWE-347（暗号署名の不適切な検証） | | EPSS | 0.2239（パーセンタイル 0.9770、FIRST、2026-11-02 時点） | | KEV | 掲載あり（2026-09-24 追加、対応期限 2026-09-27、ランサムウェア利用は不明） | | 出典 | NVD、WSO2 のセキュリティ勧告（WSO2-2026-5328）、FIRST、CISA | ## 未確認の点 - WSO2 の勧告本文は、閲覧時にボット対策の画面が表示され取得できなかった。内容は NVD の WSO2 登録データに基づく。 - 実際の攻撃の経路・規模・標的。KEV の記載（パストラバーサル）と NVD の説明（JWT の検証不備）の食い違いの理由。 - ランサムウェア攻撃での利用（CISA は「不明」）。 - 4.1.0 より前の API Manager への影響。 ## 出典 - [NVD CVE-2026-5430](https://nvd.nist.gov/vuln/detail/CVE-2026-5430) — NIST NVD - [CISA KEV カタログ（CVE-2026-5430）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-5430) — CISA - [WSO2 セキュリティ勧告 WSO2-2026-5328](https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2026-5328/) — WSO2 - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-5430) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wso2-api-manager-jwt-algorithm-validation-bypass-kev-cve-2026-5430