WSO2 API ManagerのJWT認証バイパス脆弱性(CVSS 10.0)が実悪用開始、偽造管理者トークンでAPI基盤が乗っ取りの危機に

概要

WSO2 API Managerをはじめとする複数のWSO2製品に存在するJWT認証バイパスの重大脆弱性(CVE-2026-5430、CVSSスコアは最大10.0、シングルテナント構成では9.8)が、実際の攻撃で悪用され始めた。セキュリティ企業watchTowrが運用するハニーポットネットワークが9月13日、管理者権限を埋め込んだ偽造JWTトークンによる攻撃を検知しており、悪用に成功すると攻撃者は管理アカウントを完全に乗っ取り、すべてのAPIバックエンドエンドポイントやコンシューマーキー、アプリケーションのシークレットといった機密情報にアクセスできる恐れがある。脆弱性の技術詳細は9月16日に公開されたが、実悪用の試みはそれに先立つ9月13日からすでに観測されていた。

脆弱性の技術的詳細

CVE-2026-5430は、WSO2 API Manager(バージョン4.1.0〜4.6.0)、API Control Plane、Traffic Manager、Universal Gateway(いずれもバージョン4.5.0・4.6.0)に影響する。原因はJWTの暗号署名検証における不備で、WSO2自身のアドバイザリによれば「サポート対象外のアルゴリズムで署名されたトークンであっても認証をバイパスできてしまう」欠陥だという。watchTowrの専門家はこれを「JWT認証はサポートしていないはずのアルゴリズムで署名されたトークンを受理し、そのまま承認してしまう」と説明しており、攻撃者はこの隙を突いて管理者権限を持つ偽造トークンを生成し、正規の認証を経ずにシステムへ侵入できる。脆弱性を発見したのはHacktronチームで、報告はwatchTowrの研究者らによるものとされる。

悪用のタイムラインと対応の遅れ

WSO2は2026年4月にパッチを開発し、5月3日にはアドバイザリを公開してパッチを提供していた。しかしCVEレコードの正式公開は8月までずれ込み、技術詳細が明らかになったのは9月16日と、パッチ提供から4カ月以上が経過してからだった。watchTowrはこの間、自社のハニーポットでベンダー提供のパッチを解析して脆弱性を再現しており、技術詳細が公開される前から攻撃者がパッチの差分を解析し武器化していた可能性を示唆している。実際、公開情報が出回る3日前の9月13日には、すでに悪用の試みが観測されていた。SecurityWeekによれば、WSO2は銀行、政府機関、通信、物流業界を含む世界で約1,000社の企業顧客を抱えており、APIの認証・トラフィック制御の中核を担うことが多いことから、侵害された場合の影響は組織全体の業務可視性や認証情報の漏洩に直結すると指摘されている。

今後の見通しと推奨対応

専門家らは、パッチが数カ月前から存在するにもかかわらず攻撃が本格化している状況から、未パッチのシステムが依然として多数残っていることを示していると警鐘を鳴らしている。推奨される対応としては、GitHubのプルリクエスト(#13752、#14167)またはWSO2サポートサブスクリプション経由でのパッチ適用に加え、管理者アカウントのアクティビティ監査、認証情報のローテーションが急務とされる。インターネットに公開されたWSO2デプロイメントは特に狙われやすく、今後も同様の遅延パッチ適用を突く攻撃キャンペーンが継続する可能性が高い。