Критическую уязвимость WSO2 API Manager с подделкой admin-токенов уже эксплуатируют

Критическая уязвимость в WSO2 API Manager взята на вооружение атакующими — об этом сообщила компания watchTowr. Брешь получила идентификатор CVE-2026-5430 и оценку 9.8 по шкале CVSS (в комментариях watchTowr фигурирует и максимальная оценка 10.0). Обнаружила и раскрыла проблему команда Hacktron Team.

Суть проблемы

Ошибка кроется в механизме проверки криптографической подписи. Как поясняется в майском бюллетене WSO2 2026 года, аутентификацию по JWT можно обойти, если токен подписан алгоритмом, который сервис не поддерживает: система принимает такой токен и всё равно одобряет его. В результате возможен несанкционированный доступ вплоть до полного захвата административных учётных записей.

Под угрозой оказались сразу несколько продуктов вендора: WSO2 API Manager версий с 4.1.0 по 4.6.0, а также API Control Plane, Traffic Manager и Universal Gateway версий 4.5.0 и 4.6.0.

Атаки уже идут

По данным watchTowr, сеть их приманок (honeypot) начала перехватывать вредоносные JWT-токены с зашитыми правами администратора уже 13 сентября 2026 года. "Легко понять, почему это критическая ошибка", — отметил Йордан Ганчев, ведущий специалист watchTowr по анализу угроз.

По предположению исследователей, поддельный токен позволяет добраться до всех backend-эндпоинтов API и их учётных данных, а также до ключей и секретов всех зарегистрированных приложений. Ганчев обращает внимание на особую опасность именно этого класса продуктов: шлюз API по своей природе перехватывает запросы на пути к внутренним системам. Это открывает злоумышленнику отличную возможность подслушивать и красть данные в транзите и взаимодействовать с внутренними сервисами — своего рода "боковое перемещение как услуга".

Что делать

Исправления уже доступны. Пользователям community-версий предложены соответствующие pull-запросы в репозиториях carbon-apimgt и product-apim, а обладателям подписки на поддержку WSO2 выпущены обновления с конкретными update level для каждой версии продукта. Учитывая активную эксплуатацию, устанавливать патчи рекомендуется как можно скорее.

Источник: The Hacker News