ב-13 בספטמבר הגיע למלכודת דבש של חברת המחקר watchTowr token חתום שהצהיר על עצמו שהוא של מנהל המערכת. לפי החברה, מה שהתוקף חיפש לא היה שער ה-API עצמו אלא מה שרשום בתוכו: פרטי האימות של כל backend, וה-consumer keys והסודות של כל אפליקציה רשומה. החולשה שאיפשרה את זה, CVE-2026-5430 בציון 10, קיבלה תיקון ארבעה חודשים וחצי קודם לכן.

סקירה כללית

WSO2 API Manager הוא הרכיב שארגונים מציבים לפני הממשקים שלהם, כדי שהאפליקציות והשותפים יפנו אליו ולא אל המערכות שמאחור. כדי לעשות את זה הוא חייב להחזיק במקום אחד את פרטי האימות של כל מה שרשום אצלו. אין צורך לפרוץ לעשר מערכות כשאחת מהן שומרת את המפתחות לכולן.

הכניסה אליו נשענת על פתק חתום דיגיטלית שאומר מי המשתמש ומה מותר לו, מה שנקרא JWT. רכיב האימות של WSO2 קיבל token-ים שנחתמו בשיטות שהוא לא הוגדר לקבל, ואישר אותם. לבאג מהסוג הזה קוראים אימות שגוי של חתימה קריפטוגרפית, CWE-347.

מזהה: CVE-2026-5430
סוג: אימות שגוי של חתימה קריפטוגרפית, CWE-347
מוצר: WSO2 API Manager, API Control Plane, Traffic Manager ו-Universal Gateway
גרסאות מושפעות: כל ענפי 4.1.0 עד 4.6.0 ב-API Manager, וענפי 4.5.0 ו-4.6.0 בשלושת האחרים
גרסה מתוקנת: העדכון שסוגר את הענף, למשל 4.6.0.21 ב-API Manager ו-4.6.0.22 ב-API Control Plane. הרשימה המלאה בהודעת היצרן
ניצול בפועל: כן, בקטלוג ה-KEV של CISA מ-24 בספטמבר 2026

ציר זמן

3 במאי 2026: WSO2 מפרסמת את הודעת האבטחה WSO2-2026-5328 ואת העדכונים המתקנים, אחרי דיווח של צוות Hacktron. לפי SecurityWeek, התיקון היה זמין בערוץ העדכונים כבר באפריל.
6 באוגוסט 2026: הרשומה נפתחת ב-NVD בציון 10.
13 בספטמבר 2026: לפי watchTowr, ה-JWT המזויף הראשון מגיע למלכודת הדבש שלה.
24 בספטמבר 2026: CISA מוסיפה את החולשה לקטלוג ה-KEV, עם מועד טיפול ב-27 בספטמבר.

איך הניצול עובד

התוקף לא מנחש סיסמה ולא גונב token קיים. הוא מרכיב אחד משלו, כותב בתוכו שהמשתמש הוא admin, מצרף את מלוא הרשאות הניהול וחותם אותו בשיטה שהשרת לא אמור לקבל. כאן נכנס לתמונה אימות שגוי של חתימה קריפטוגרפית: במקום לעצור ולומר שבשיטה הזאת הוא לא עובד, השרת ממשיך הלאה ומאשר. מרגע זה כל בקשה של התוקף נראית לשער כמו בקשה של מנהל. ה-token-ים שנתפסו, מספרת watchTowr, הגיעו מוכנים מראש עם ההרשאות בפנים.

ניתוח ציון ה-CVSS

ציון CVSS: 10.0

הרשומה ב-NVD נושאת שני מספרים לאותו באג: 10 בהתקנה שמשרתת כמה ארגונים, ו-9.8 בהתקנה של ארגון יחיד, כי אז הנזק נשאר בתוך אותו תחום אחריות. מי שקובע איזה מהשניים תקף אצלכם הוא אופן ההתקנה, לא הקוד.

איפה למצוא Proof of Concept (PoC)

קוד הדגמה ציבורי לא פורסם עד כה, וזה חלק מהעניין: הניצול הגיע בלי שמישהו הסביר קודם בפומבי איך. הניתוח הזמין הוא דוח הניצול של SecurityWeek, שמביא את ממצאי watchTowr.

העדכון זמין מאז מאי. מי שלא התקין אותו מחלק עכשיו את המפתחות של כל מה שמחובר אליו לכל מי שיודע להרכיב JWT.