Una vulnerabilità critica in WSO2 API Manager è oggetto di tentativi di sfruttamento attivi: secondo watchTowr, alcuni attacchi usano token JWT contraffatti con privilegi amministrativi per aggirare l’autenticazione.
Il difetto, identificato come CVE-2026-5430 e valutato 9,8 su 10, può portare all’accesso non autorizzato fino alla compromissione completa degli account. WSO2 ha già pubblicato correzioni e invita a installarle con urgenza.
Come funziona il bypass dell’autenticazione JWT
Il problema è legato alla verifica della firma crittografica dei JSON Web Token, o JWT. WSO2 ha spiegato nel proprio avviso di maggio 2026 che l’autenticazione può essere aggirata quando un token viene firmato con un algoritmo non supportato, ma viene comunque accettato dal servizio.
In pratica, il componente vulnerabile può approvare token che dovrebbe rifiutare. Questo apre la strada a accessi senza autorizzazione e, nei casi più gravi descritti dall’azienda, alla compromissione di account amministrativi e al conseguente account takeover.
watchTowr ha rilevato i primi tentativi nel proprio sistema di honeypot il 13 settembre 2026. I token JWT osservati incorporavano privilegi di amministratore, un elemento che segnala un tentativo di ottenere controllo esteso sull’installazione presa di mira.
I prodotti e le versioni coinvolti
La vulnerabilità non riguarda soltanto API Manager. L’elenco diffuso da WSO2 include queste versioni:
- WSO2 API Manager: dalla 4.1.0 alla 4.6.0;
- WSO2 API Control Plane: 4.5.0 e 4.6.0;
- WSO2 Traffic Manager: 4.5.0 e 4.6.0;
- WSO2 Universal Gateway: 4.5.0 e 4.6.0.
Il perimetro è delicato perché questi prodotti operano davanti o lungo il percorso delle richieste API verso i sistemi interni. Secondo l’analisi di watchTowr, un attaccante che riesca a sfruttare il difetto potrebbe puntare agli endpoint backend, alle credenziali, alle consumer key e ai segreti associati alle applicazioni registrate.
La società di sicurezza indica inoltre il rischio di intercettare dati sensibili in transito e di interagire con servizi interni attraverso l’infrastruttura API compromessa. Sono scenari attribuiti alle modalità di sfruttamento osservate e alle potenzialità del componente, non la conferma che tutti siano già avvenuti in ogni attacco.
Gli aggiornamenti disponibili
Per gli utenti della community, WSO2 ha reso disponibili le correzioni attraverso specifiche pull request. I clienti con WSO2 Support Subscription ricevono invece gli aggiornamenti nei rispettivi livelli di update.
Per API Manager, gli update indicati sono il livello 21 per la 4.6.0, 57 per la 4.5.0, 72 per la 4.4.0, 108 per la 4.3.0, 197 per la 4.2.0 e 257 per la 4.1.0. API Control Plane richiede il livello 22 sulla 4.6.0 o 58 sulla 4.5.0; Traffic Manager il 21 o il 56; Universal Gateway il 21 o il 57, rispettivamente per le versioni 4.6.0 e 4.5.0.
La priorità non è quindi una configurazione facoltativa, ma l’applicazione della correzione prevista per la propria distribuzione. La presenza di attività ostile in corso riduce il margine per rimandare l’aggiornamento, soprattutto sulle istanze esposte e sulle piattaforme che gestiscono API con privilegi o dati sensibili.
Domande frequenti
Qual è la vulnerabilità di WSO2 sotto attacco?
È CVE-2026-5430, un difetto nella verifica della firma crittografica dei JWT. Token firmati con algoritmi non supportati possono essere accettati, permettendo di bypassare l’autenticazione.
Quali prodotti WSO2 sono interessati?
Sono coinvolti API Manager dalla versione 4.1.0 alla 4.6.0, oltre ad API Control Plane, Traffic Manager e Universal Gateway nelle versioni 4.5.0 e 4.6.0.
Esiste già una correzione?
Sì. WSO2 ha pubblicato correzioni tramite pull request per la community e update dedicati per i titolari di Support Subscription. Occorre installare il livello di aggiornamento corrispondente al prodotto e alla versione in uso.
Considerazioni finali
Un bypass dell’autenticazione su una piattaforma che governa il traffico API merita attenzione immediata: non è un errore confinato a una funzione secondaria, ma un difetto che può incidere su credenziali, servizi interni e dati in transito. L’osservazione di token amministrativi contraffatti rende il rischio più concreto di una semplice dimostrazione teorica.
La parte positiva è che WSO2 ha già indicato patch e livelli di aggiornamento precisi per i prodotti coinvolti. Il punto decisivo resta applicarli sulle installazioni interessate, perché i tentativi di sfruttamento sono già stati rilevati in natura.