目次（6）
WSO2 API Manager などに、アクセス制御の不備（CWE-862）による脆弱性（CVE-2026-4052）が公表されました。WSO2 Identity Server を「Resident Key Manager」として、データベースを共有する構成にしている環境だけが対象です。この構成では、自己登録しただけのユーザーが Identity Server のトークンエンドポイントでトークンを取得し、API Manager の System REST API（管理用の API）にアクセスできるおそれがあります。CVE を採番した WSO2 による CVSS v3.1 は 9.8（Critical）です。2026-11-03 時点で NVD の状態は Received（NVD の分析は未了）、CISA KEV への掲載はなく、EPSS も未算出です。
概要
| 項目 | 内容 |
|---|
| CVE | CVE-2026-4052（2026-11-03 公開） |
| 問題 | 認可の欠落（CWE-862）。自己登録ユーザーが System REST API にアクセスできる |
| 前提となる構成 | WSO2 Identity Server を Resident Key Manager とし、データベースを共有している環境のみ |
| CVSS v3.1 | 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。採番元（WSO2）の評価で、NVD による評価ではない |
| NVD の状態 | Received（分析前） |
| EPSS | 未算出（FIRST に該当データなし） |
| KEV | 掲載なし |
影響を受ける製品と版
| 製品 | 影響を受ける版 |
|---|
| WSO2 API Manager | 4.1.0、4.2.0、4.3.0、4.4.0、4.5.0、4.6.0 |
| WSO2 API Control Plane | 4.5.0、4.6.0 |
| WSO2 Identity Server Key Manager Connector（apim-km-wso2is） | 1.8.8 より前 |
読むときの注意
- スコアは 9.8 ですが、攻撃には「自己登録ユーザー」としてトークンを得る手順が前提になります。自己登録を許していない環境や、Identity Server を Key Manager に使っていない環境は、この条件に当てはまりません。
- NVD のスコアは採番元の評価（Secondary）です。NVD 自身の分析が出れば、数値が変わる可能性があります。
- System REST API で具体的に何ができるか（どの操作まで可能か）は、公開されている情報の範囲では詳しく分かりません。
対策
- 自社の WSO2 API Manager が、Identity Server を Resident Key Manager とし、データベースを共有する構成かどうかを確認する。
- 該当する場合は、WSO2 のセキュリティ勧告（WSO2-2026-5212）に従い、修正版へ更新するか、示されている緩和策を適用する。
- 更新までの間は、ユーザーの自己登録を無効にするか、System REST API へのアクセスを管理用ネットワークに限定することを検討する。
- トークンの発行ログから、一般ユーザーに System REST API 向けのトークンが発行されていないかを点検する。
数値と出典（2026-11-03 時点）
| 項目 | 内容 |
|---|
| NVD | 状態 Received。CVSS v3.1 9.8 は WSO2 による評価 |
| CWE | CWE-862（認可の欠落） |
| EPSS | 未算出 |
| KEV | 掲載なし |
| 出典 | NVD、WSO2 セキュリティ勧告 WSO2-2026-5212、CISA KEV、FIRST |
未確認の点
- 修正版の版番号と緩和策の詳細（WSO2 の勧告ページは取得時にアクセスが制限され、本文を確認できていません）。
- System REST API で可能な操作の範囲と、実際の悪用の有無。
- 過去に公表された WSO2 API Manager の System REST API のアクセス制御の問題（CVE-2025-11969）との関係。
この記事について
- AI の利用
- 本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-03）のもので、未確認の点は本文に明記しています。
この記事の Markdown 版（LLM向け） ↗
