WSO2 API Managerに深刻な認証回避の脆弱性、偽造管理者トークンによる悪用が観測される

要点

• WSO2のAPI管理製品群において、暗号署名の検証不備によりJWT認証を回避できる深刻な脆弱性（CVE-2026-5430）が判明している。

• 2026年5月に脆弱性情報が公開されていたが、2026年9月中旬に入り管理者権限を偽造した実際の攻撃試行がセキュリティ企業によって確認された。

• 攻撃が成功すると、APIのバックエンド接続情報やアプリケーションの認証キーが窃取され、内部システム侵害の足がかりにされる危険性がある。

• コミュニティ向け修正コードおよび商用サポート向けアップデートが公開されており、管理者に対して早急な適用が呼びかけられている。

• オープンソースのAPI管理プラットフォーム「WSO2 API Manager」をはじめとするWSO2製品群において、認証を回避できる重大な脆弱性を突いた実際の悪用試行が観測されたことが明らかになった。セキュリティ企業watchTowrの研究チームが2026年9月16日までに公表した。本脆弱性を悪用されると、細工されたトークンによって管理者権限が不正に取得され、連携する内部システム全体への不正侵入につながる恐れがあるという。

脆弱性「CVE-2026-5430」の詳細と発生要因

今回悪用が確認された脆弱性は「CVE-2026-5430」として追跡されているもので、共通脆弱性評価システム（CVSS）のスコアは9.8（最大10.0）と極めて深刻なレベルに位置づけられている。本不具合はセキュリティ研究グループ「Hacktron Team」によって発見・報告され、開発元のWSO2は2026年5月にセキュリティアドバイザリ「WSO2-2026-5328」を公開していた。

WSO2の公開情報によると、本脆弱性の原因は暗号署名の不適切な検証処理にある。製品内の認証処理において、JWT（JSON Web Token：Webサービス間で認証情報や属性情報を安全にやり取りするためのデータ形式）がサポート対象外のアルゴリズムで署名されていた場合でも、システムがそれを拒絶せずに承認してしまう構造となっていた。この欠陥により、正当な秘密鍵を持たない第三者であっても認証をすり抜けることが可能となり、管理者アカウントを含む権限の侵害や、完全なアカウント乗っ取りにつながる状態になっていたと説明されている。

ハニーポットで確認された実際の攻撃と想定されるリスク

watchTowrの報告によると、同社が運用するハニーポット（攻撃者の手口を監視・収集するためのおとり環境）において、2026年9月13日に本脆弱性を標的とした通信が記録された。送信されてきたJWTトークンには、あらかじめ管理者権限が付与された細工が施されていたという。

同社のプリンシパル脅威インテリジェンススペシャリストであるヨルダン・ガンチェフ（Yordan Ganchev）氏は、The Hacker Newsに寄せた声明の中で、サービスが非対応の署名アルゴリズムを受け入れてそのまま承認してしまう点に本質的な問題があると指摘している。

ガンチェフ氏によると、観測された攻撃試行では、偽造されたJWTトークンを利用してすべてのAPIバックエンドエンドポイントへ侵入し、登録されている全アプリケーションの認証情報（クレデンシャル）やコンシューマーキー、シークレットなどを網羅的に取得しようとしていた疑いがあるという。さらに、WSO2のAPI製品は外部からのリクエストを内部システムへ中継・仲介する役割を担っていることから、通信中の機密データを盗聴したり、内部ネットワークを探索・侵害するラテラルムーブメント（侵入したネットワーク内で横方向に探索や侵害を広げる行為）の足がかりとして悪用される重大な脅威になり得ると警鐘を鳴らしている。

影響を受ける対象製品とバージョン

本脆弱性の影響を受ける製品およびバージョンは以下の通りである。

• WSO2 API Control Plane: 4.6.0、4.5.0
• WSO2 API Manager: 4.6.0、4.5.0、4.4.0、4.3.0、4.2.0、4.1.0
• WSO2 Traffic Manager: 4.6.0、4.5.0
• WSO2 Universal Gateway: 4.6.0、4.5.0

API Manager本体だけでなく、Control PlaneやTraffic Manager、Universal Gatewayといった関連コンポーネントにも広く影響が及んでいる。

提供されている修正プログラムと対策

WSO2は本脆弱性を修正するためのパッチおよびアップデートをすでに公開している。コミュニティ版を利用しているユーザー向けには、GitHub上のPull Requestとして修正コードが提供されている。

• wso2/carbon-apimgt リポジトリ: プルリクエスト #13752
• wso2/product-apim リポジトリ: プルリクエスト #14167

また、商用サポート契約（WSO2 Support Subscription）を結んでいるユーザー向けには、以下のアップデートレベルが配信されている。

• WSO2 API Control Plane: 4.6.0（Update level 22）、4.5.0（Update level 58）
• WSO2 API Manager: 4.6.0（Update level 21）、4.5.0（Update level 57）、4.4.0（Update level 72）、4.3.0（Update level 108）、4.2.0（Update level 197）、4.1.0（Update level 257）
• WSO2 Traffic Manager: 4.6.0（Update level 21）、4.5.0（Update level 56）
• WSO2 Universal Gateway: 4.6.0（Update level 21）、4.5.0（Update level 57）

セキュリティ機関および専門家は、すでに実際の悪用試行が始まっている現状を踏まえ、対象製品を運用しているすべての組織に対して、可能な限り速やかに修正を適用するよう呼びかけている。