CISA lade den 24 september 2026 till CVE-2026-5430 i katalogen över kända exploaterade sårbarheter, KEV. Bristen berör flera WSO2-produkter för API-hantering och kan enligt leverantören låta en obehörig part kringgå JWT-autentisering och ta över konton. WSO2 klassar den som Critical med CVSS 3.1 10,0 i den generella bedömningen. För organisationer som driver en internetåtkomlig API-plattform innebär KEV-tillägget att en redan känd korrigering behöver prioriteras och historisk exponering bedömas.
Det finns en viktig källskillnad: CISA:s korttext i KEV beskriver CVE-2026-5430 som ett katalogtraverseringsfel som kan leda till filuppladdning och kodkörning. WSO2:s egen bulletin och CVE-registrets post från WSO2 beskriver däremot en förbikoppling av JWT-autentisering. De två primärkällorna från den tilldelande leverantören är samstämmiga om den tekniska feltypen. Den här artikeln använder därför deras beskrivning. KEV-posten används för att fastställa att exploatering har bekräftats, inte som källa till teknisk angreppsväg. Skillnaden behöver uppmärksammas av incidentansvariga som söker indikatorer.
Vad sårbarheten påverkar
WSO2 anger att JWT-token kan accepteras när den är signerad med en algoritm som inte uttryckligen har konfigurerats eller stöds för den aktuella autentiseringsvägen. Den felaktiga valideringen kan ge obehörig åtkomst. Leverantören beskriver möjliga följder som övertagande av konton, även administrativa sådana. Detta är WSO2:s bedömning av möjlig påverkan; den offentliga informationen visar inte vilka faktiska konton som har komprometterats i observerade angrepp.
Berörda produkter är WSO2 API Control Plane 4.5.0 och 4.6.0, API Manager 4.1.0 till 4.6.0, Traffic Manager 4.5.0 och 4.6.0 samt Universal Gateway 4.5.0 och 4.6.0, när de ligger under respektive korrigerade uppdateringsnivå. Den officiella CVE-posten listar också berörda versioner av komponenten Carbon API Manager Rest API Utility. Installationssätt, uppdateringsnivå och eventuella egna ändringar behöver kontrolleras per miljö; det räcker inte att läsa produktens huvudversion.
WSO2 publicerade rådgivningen WSO2-2026-5328 med angivet datum 3 maj 2026 och version 1.0.0. CVE-posten publicerades den 6 augusti och uppdaterades senast 25 september. KEV-tillägget den 24 september är den nya verifierade förändringen i riskbilden. De kontrollerade källorna anger inte när exploateringen först började. En fungerande offentlig PoC har inte självständigt verifierats. Att en fix finns sedan tidigare gör inte den bekräftade exploateringen mindre relevant för system som ännu inte uppdaterats.
Korrigerade nivåer
WSO2 anger exakta nivåer för kunder med supportabonnemang. För API Control Plane krävs minst 4.6.0 update level 22 eller 4.5.0 level 58. För API Manager är nivåerna 4.6.0 level 21, 4.5.0 level 57, 4.4.0 level 72, 4.3.0 level 108, 4.2.0 level 197 och 4.1.0 level 257. Traffic Manager behöver 4.6.0 level 21 eller 4.5.0 level 56. Universal Gateway behöver 4.6.0 level 21 eller 4.5.0 level 57. Senare nivå inom samma gren omfattas enligt leverantörens instruktion.
För användare av öppna community-versioner länkar WSO2 till offentliga kodfixar och rekommenderar migrering till en senare opåverkad version om fixen inte kan tillämpas. Detta är inte samma sak som att alla äldre installationer automatiskt får en färdig uppgraderingsfil. Ändringsansvariga bör därför fastställa vilken distributionsmodell och vilket stöd som gäller innan ett servicefönster bokas. Testa även egna autentiseringsflöden och integrationer efter ändringen.
Konkreta driftåtgärder
Inventera alla API Manager-, Control Plane-, Traffic Manager- och Universal Gateway-instanser. Ta med externa och interna noder, reservmiljöer och installationer där API-komponenter ingår som beroende. Dokumentera produktversion, uppdateringsnivå, exponering, JWT-konfiguration och kopplingar till identitetsleverantörer. Kontrollera även om administrationskonton och tjänstkonton använder den berörda autentiseringsvägen. Resultatet avgör vilka miljöer som behöver åtgärdas först.
Planera en korrigerad uppdatering för berörda noder och prova den i en representativ miljö. För API-plattformar kan omstart, omdistribution och avbrott i trafiken bli aktuella. Även en rullande ändring kan påverka aktiva sessioner eller gateway-trafik om redundansen inte fungerar som väntat. Ha konfigurationsbackup, återgångsplan och verifieringssteg redo. Efter uppdatering bör driftteamet kontrollera rätt update level på varje nod och att avsedda JWT-algoritmer, API-anrop och administrativa inloggningar fungerar.
För installationer som varit åtkomliga under perioden med bekräftad exploatering bör säkerhetsteamet granska relevanta autentiseringsloggar, administratörsaktivitet och API-händelser enligt den egna incidentprocessen. Om konton kan ha tagits över kan sessioner, token, klienthemligheter och berörda referenser behöva återkallas eller bytas. Vilka indikatorer som är tillförlitliga för just denna sårbarhet framgår inte av WSO2:s offentliga bulletin. Undvik därför att tolka frånvaro av ett enskilt loggmönster som bevis för att inget intrång skett.
WSO2 anger ingen verifierad generell tillfällig mitigering som fullt ut ersätter de korrigerade uppdateringsnivåerna. Begränsad exponering, snäv åtkomst till administrationsgränssnitt och extra övervakning kan vara rimliga riskreducerande steg tills ändringen är genomförd, men deras skyddseffekt mot just denna brist är inte fastställd i bulletinen. Publicerade kodändringar är inte i sig ett bevis för att en lokal installation är korrigerad; det måste verifieras i den produkt och build som faktiskt körs.
LabOps IT:s bedömning
Åtgärdsprioritet: Akut för exponerade eller verksamhetskritiska WSO2 API-miljöer och Hög för andra berörda installationer efter lokal exponeringsbedömning. Grunden är WSO2:s Critical-klassning, CVSS 10,0, möjlig administrativ kontokompromettering och att CISA har tagit upp CVE-numret i KEV. För en enkelhyresmiljö anger WSO2 ett justerat CVSS-värde på 9,8 eftersom påverkan stannar inom en säkerhetsdomän. LabOps IT:s prioritet är en praktisk åtgärdsbedömning och ska inte förväxlas med dessa officiella poäng.
Källkonflikten i KEV:s kortbeskrivning är en verklig begränsning i underlaget. Den ändrar inte att CVE-numret finns i KEV, men den gör det extra viktigt att utgå från WSO2:s bulletin och CVE-post för tekniska kontroller. Om CISA eller WSO2 publicerar en rättelse bör beskrivningen uppdateras. Fram till dess bör ansvariga prioritera versionskontroll, uppdatering och bedömning av möjliga kontointrång framför antaganden om filuppladdning eller kodkörning.