Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-5430 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-09-24 |
| Producent | WSO2 |
| Produkt | API Manager, API Control Plane, Traffic Manager, Universal Gateway |
| CVSS Score | 10.0 (Krytyczny) |
| EPSS Score | 0.6% (percentyl: 46%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-09-27 |
Opis podatności
Źródło: CISA KEV
WSO2 API Control Plane, API Manager, Traffic Manager i Universal Gateway zawierają podatność typu path traversal, która może pozwolić na nieograniczone przesyłanie plików i prowadzić do zdalnego wykonania kodu (RCE).
Opis w NVD i w komunikacie producenta WSO2-2026-5328 przedstawia tę samą CVE inaczej: mechanizm uwierzytelniania JWT akceptuje tokeny podpisane algorytmami innymi niż jawnie skonfigurowane (CWE-347). Atakujący może przygotować token z nieobsługiwanym algorytmem, który zostanie błędnie zweryfikowany, co daje nieautoryzowany dostęp — łącznie z przejęciem kont administracyjnych. We wdrożeniach jednodzierżawczych producent obniża ocenę do CVSS 9.8. Niezależnie od rozbieżności opisów skutek jest ten sam: przejęcie platformy API bez uwierzytelnienia.
Wymagane działania
Zastosuj poprawki lub środki zaradcze zgodnie z instrukcjami producenta (komunikat WSO2-2026-5328), uwzględniając wytyczne CISA BOD 26-04 (priorytetyzacja aktualizacji według ryzyka) oraz wymagania CISA dotyczące triażu powłamaniowego. Dla usług chmurowych stosuj wytyczne BOD 26-04, a jeśli środki zaradcze nie są dostępne — zaprzestań korzystania z produktu. Oceń ekspozycję każdego zasobu na internet.
Minimalne poziomy aktualizacji z poprawką (według danych NVD):
- API Manager — 4.1.0.257, 4.2.0.197, 4.3.0.108, 4.4.0.72, 4.5.0.57, 4.6.0.21,
- API Control Plane — 4.5.0.58, 4.6.0.22,
- Traffic Manager — 4.5.0.56, 4.6.0.21,
- Universal Gateway — 4.5.0.57, 4.6.0.21.
Po wdrożeniu poprawki przejrzyj konta administracyjne, klucze i tokeny aplikacji oraz logi bramy API pod kątem nieautoryzowanych zmian.
Kogo dotyczy?
Podatność dotyczy platformy zarządzania API WSO2: API Manager, API Control Plane, Traffic Manager i Universal Gateway. Te komponenty zwykle obsługują ruch API wystawiony do partnerów lub do internetu, a w bankach i u operatorów telekomunikacyjnych pełnią rolę centralnej bramy integracyjnej — sprawdź wszystkie instancje, także w środowiskach testowych.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
