Exploit attivo WSO2 API Manager: bypass JWT con token admin forgiati

La rete honeypot di watchTowr ha catturato il 13 settembre 2026 token JWT forgiati con privilegi di amministratore diretti contro istanze di WSO2 API Manager. Il bersaglio è CVE-2026-5430, una vulnerabilità di bypass dell'autenticazione con punteggio CVSS massimo che consente a un attaccante di ottenere accesso completo senza credenziali valide. La posizione architetturale del prodotto — intercettore nativo di traffico API verso sistemi interni — trasforma il difetto in un veicolo ideale per movimento laterale e furto di dati sensibili in transito.

Il meccanismo: quando l'algoritmo sbagliato diventa la porta giusta

Il difetto risiede nella logica di verifica della firma crittografica JWT. Il sistema accetta token firmati con algoritmi che non ha configurato né supporta, validandoli comunque come autentici. Secondo l'advisory ufficiale WSO2, citato da The Hacker News: "JWT authentication can be bypassed when a token is signed using an unsupported algorithm, allowing unauthorized access".

Yordan Ganchev, principal threat intelligence specialist di watchTowr, ha descritto il meccanismo con precisione: "The flaw exists in the service due to how JWT authentication accepts tokens signed with algorithms it does not support, then approves them anyway". Un attaccante che conosce questa asimmetria può craftare un token con claim arbitrari — incluso quello di amministratore — e vederselo accettato dal sistema senza possedere alcuna chiave legittima.

La vulnerabilità è classificata CWE-347: improper verification of cryptographic signature. Non si tratta di un attacco complesso: la complessità di attacco è bassa (AC:L), non richiede privilegi pregressi (PR:N), non necessita interazione utente (UI:N) ed è sfruttabile via rete (AV:N). Il parametro S:C nel vettore CVSS indica impatto su risorse oltre l'ambito di sicurezza del componente vulnerabile stesso, riflettendo la capacità di compromettere tenant adiacenti in deployment multi-tenant.

Da proof-of-concept a exploitation in-the-wild

La scoperta originale è accreditata all'Hacktron Team, che ha segnalato responsabilmente il difetto a WSO2. L'advisory ufficiale del vendor, pubblicato in una prima versione nel maggio 2026 con pagina di sicurezza aggiornata l'8 settembre 2026, ha reso pubblici dettagli tecnici e fix. La finestra tra disclosure e rilevamento di exploit attivi è stata sufficiente per la distribuzione delle patch, ma non per l'adozione universale.

Il 13 settembre 2026, la sensoristica di watchTowr ha registrato il primo traffico malevolo: token JWT con claim admin o equivalenti privilegiati, diretti verso endpoint esposti di WSO2 API Manager. La natura della rete honeypot impedisce di stabilire il volume esatto dei tentativi o la distribuzione geografica delle istanze target. Non emergono sovrapposizioni infrastrutturali che colleghino l'attività rilevata a gruppi di minaccia noti allo stato attuale.

Ganchev ha sottolineato una conseguenza architetturale spesso trascurata: "The service is also by definition made to intercept API requests on their way to internal systems, which provides a great opportunity to tap and steal sensitive data in transit and interact with internal services through this 'lateral movement-as-a-service' product". Quando il componente di sicurezza perimetrale diviene il punto di ingresso, la sua funzione stessa — proxy, trasformazione, rate limiting, logging — diviene arma a doppio taglio.

Prodotti affetti e catena di aggiornamento

La superficie di attacco non si limita al prodotto core. Secondo le fonti ufficiali, sono vulnerabili:

I livelli di update sono disponibili per i titolari di WSO2 Support Subscription. Per gli utenti community, WSO2 ha pubblicato le relative pull request su GitHub. La distribuzione frammentata — subscription commerciale da un lato, open source dall'altro — introduce un rischio di segmentazione della protezione: le istanze community senza processo di aggiornamento automatizzato restano esposte per tempi indeterminati.

Non sono disponibili dati sulla percentuale di installazioni community rispetto a quelle enterprise, né sulla velocità di adozione delle patch rilasciate. Il record CVE.org conferma il meccanismo e il punteggio, ma non fornisce informazioni su exploitation o timeline specifica di remediation.

Cosa fare adesso

• Verificare la versione esposta: identificare se l'istanza WSO2 API Manager rientra nel range 4.1.0-4.6.0, inclusi i componenti satellite API Control Plane, Traffic Manager e Universal Gateway
• Applicare i livelli di update specifici: per i titolari di supporto WSO2, installare i livelli 21-22 (4.6.0) o 56-58 (4.5.0) a seconda del componente; per gli utenti community, verificare le pull request GitHub ufficiali
• Riesaminare i log di autenticazione JWT: cercare token con algoritmi non configurati o anomalie nel campo alg della testata JWT precedenti al 13 settembre 2026
• Valutare l'esposizione dei backend API: dato che WSO2 API Manager funge da proxy verso sistemi interni, verificare se l'eventuale compromissione abbia consentito accesso a endpoint o dati sensibili in transito

Il limite del perimetro che diventa condotto

La cronaca delle vulnerabilità JWT algorithm confusion non è nuova, ma la specifica posizione di WSO2 API Manager nel flusso dati enterprise ne altera la geometria del rischio. Non si tratta di un bypass che apre una singola applicazione: apre il corridoio attraverso cui transitano decine o centinaia di servizi interconnessi. Il prodotto è progettato per vedere tutto il traffico API, e quando il suo meccanismo di autenticazione cede, l'attaccante eredita quella stessa visibilità.

La rilevazione di watchTowr conferma che il gap tra advisory vendor e exploitation di massa si è ridotto a circa quattro mesi. Per le organizzazioni che gestiscono piattaforme di API management on-premise o in cloud privato, questo intervallo rappresenta il tempo massimo disponibile per chiudere la finestra di esposizione. La presenza o meno nel catalogo KEV CISA — che al 16 settembre 2026 non include CVE-2026-5430 — non altera la concretezza della minaccia documentata dal campo.

Fonti

• https://thehackernews.com/2026/09/active-exploitation-attempts-target.html
• https://www.theregister.com/security/2026/09/14/perfect-10-gitlab-bug-under-attack-days-after-patch-lands/5296176
• https://hol.org/guard/security/cves/CVE-2026-5430-authentication-bypass-via-jwt-algorithm-mismatch
• https://www.cve.org/CVERecord?id=CVE-2026-5430
• https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2026-5328/
• https://www.cisa.gov/news-events/alerts/2026/09/11/cisa-adds-one-known-exploited-vulnerability-catalog
• https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-3-2-released/
• https://thehackernews.com/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti