Grave falla JWT in WSO2 API Manager sotto attacco attivo
I ricercatori di sicurezza segnalano lo sfruttamento attivo di un grave bypass dell'autenticazione JWT in WSO2 API Manager, che consente di forgiare token amministratore e di assumere il pieno controllo degli account.
Una grave falla di sicurezza in WSO2 API Manager è ora attivamente sfruttata nel mondo reale, secondo quanto rilevato da watchTowr. WSO2 API Manager è una piattaforma che si colloca davanti ai servizi backend e verifica ogni richiesta API, mentre JWT (JSON Web Token) è un piccolo lasciapassare digitale usato per dimostrare chi sta effettuando una richiesta. La vulnerabilità, tracciata come CVE-2026-5430, ha un punteggio CVSS di 9,8 su 10 nell'avviso di WSO2, mentre watchTowr la descrive come un bug critico con CVSS 10.0. Deriva da una verifica impropria di una firma crittografica nel processo di autenticazione JWT. L'Hacktron Team è stato riconosciuto per aver scoperto e segnalato la falla.
L'avviso di WSO2 pubblicato a maggio 2026 spiega che l'autenticazione JWT può essere aggirata quando un token è firmato usando un algoritmo non supportato, consentendo accessi non autorizzati. In un normale flusso JWT, il servizio controlla la firma per confermare che il token sia autentico. Il bug significa che se un attaccante crea un token usando un algoritmo di firma non supportato, il servizio lo accetta comunque, e l'attaccante può creare un token che concede diritti di amministratore senza conoscere la chiave reale. Uno sfruttamento riuscito può portare ad accessi non autorizzati, inclusa la potenziale compromissione di account amministrativi e il pieno controllo degli account. I prodotti interessati sono WSO2 API Control Plane versioni 4.6.0 e 4.5.0, WSO2 API Manager versioni 4.6.0, 4.5.0, 4.4.0, 4.3.0, 4.2.0 e 4.1.0, WSO2 Traffic Manager versioni 4.6.0 e 4.5.0, e WSO2 Universal Gateway versioni 4.6.0 e 4.5.0.
Per gli utenti della community, le correzioni sono disponibili in due pull request di WSO2: github.com/wso2/carbon-apimgt/pull/13752 e github.com/wso2/product-apim/pull/14167. Per i titolari di un abbonamento al supporto WSO2, sono stati rilasciati livelli di aggiornamento corretti: WSO2 API Control Plane 4.6.0 al livello di aggiornamento 22 e 4.5.0 al livello di aggiornamento 58; WSO2 API Manager 4.6.0 al livello di aggiornamento 21, 4.5.0 al livello di aggiornamento 57, 4.4.0 al livello di aggiornamento 72, 4.3.0 al livello di aggiornamento 108, 4.2.0 al livello di aggiornamento 197 e 4.1.0 al livello di aggiornamento 257; WSO2 Traffic Manager 4.6.0 al livello di aggiornamento 21 e 4.5.0 al livello di aggiornamento 56; e WSO2 Universal Gateway 4.6.0 al livello di aggiornamento 21 e 4.5.0 al livello di aggiornamento 57.
watchTowr afferma che la vulnerabilità sta ora registrando tentativi di sfruttamento attivi nel mondo reale. La sua rete di honeypot, composta da sistemi esca messi online per attirare e osservare gli attaccanti, ha catturato token JWT arrivati il 13 settembre 2026, con privilegi di amministratore incorporati. Yordan Ganchev, specialista principale di threat intelligence presso watchTowr, ha spiegato che la falla esiste perché il servizio accetta token JWT firmati con algoritmi che non supporta e poi li approva comunque. Nei tentativi di sfruttamento osservati, si sospetta che il token JWT falsificato venga usato per ottenere accesso a ogni endpoint backend delle API e alle sue credenziali, chiavi di consumo e segreti per ogni applicazione registrata.
Ganchev ha aggiunto che il servizio è, per definizione, fatto per intercettare le richieste API dirette ai sistemi interni. Questo offre agli attaccanti l'opportunità di intercettare e rubare dati sensibili in transito e di interagire con i servizi interni attraverso questo prodotto di "lateral movement-as-a-service". Poiché WSO2 API Manager si trova spesso tra gli utenti pubblici e i database interni, un attaccante che riesce nell'intento potrebbe raggiungere dati sensibili dei clienti o servizi backend senza dover violare ogni singolo sistema separatamente. Alla luce dello sfruttamento attivo, si consiglia agli utenti di applicare le correzioni il prima possibile per una protezione ottimale. Per le organizzazioni che gestiscono WSO2 o piattaforme API simili, un partner IT e infrastrutturale orientato alla sicurezza come AEU-I può aiutare a rivedere l'esposizione e a mantenere aggiornati i livelli di aggiornamento.
Come Proteggerti
- Se la tua organizzazione utilizza WSO2 API Manager, API Control Plane, Traffic Manager o Universal Gateway, aggiorna subito al livello di aggiornamento corretto indicato da WSO2.
- Se usi la versione community gratuita, applica le due pull request di WSO2 menzionate nell'avviso oppure passa a una versione corretta.
- Finché non puoi applicare la patch, limita l'accesso amministrativo a indirizzi IP conosciuti e attiva l'autenticazione a più fattori per gli account amministratore.
- Controlla i log di API Manager per eventuali accessi che usano un tipo di token che non riconosci o per account amministratore creati di recente.
- Iscriviti agli avvisi di sicurezza di WSO2 e chiedi al tuo provider di hosting o IT di confermare che la patch sia installata.
Vulnerabilità e Soluzioni
- CVE-2026-5430 A critical JWT authentication bypass in WSO2 API Manager, fixed in update levels and community pull requests. Vedi la soluzione e i dettagli →
I Termini Spiegati
- JWT Un piccolo lasciapassare digitale, come un biglietto firmato, che un sito web o un servizio usa per confermare chi sta effettuando una richiesta.
- API Un insieme di regole che permette a programmi software diversi di comunicare tra loro e condividere dati.
- CVSS Una scala standard da 0 a 10 usata per valutare quanto è grave una falla di sicurezza, con numeri più alti che indicano un rischio maggiore.
- honeypot Un sistema informatico esca messo online di proposito per attirare gli attaccanti e permettere ai ricercatori di osservare cosa fanno.
- lateral movement Quando un attaccante usa un sistema compromesso per raggiungere altri sistemi all'interno della stessa rete.
- update level Una versione di patch specifica del fornitore che raccoglie correzioni di sicurezza per i clienti con un abbonamento al supporto.