WSO2 API Manager 等の JWT 検証不備で認証回避・管理者乗っ取り（CVSS 10.0・KEV）

情報取得日: 2026/09/24・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-5430
製品	WSO2 / WSO2 API Manager 4.1.0〜4.6.0 / API Control Plane 4.5.0・4.6.0 / Traffic Manager 4.5.0・4.6.0 / Universal Gateway 4.5.0・4.6.0
CVSS	10.0（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
種別 (CWE)	CWE-347 暗号署名の不適切な検証
登録／公開日	2026/09/24
KEV 期限	2026/09/27 まで（米国連邦機関向け目安）
推奨対応	ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-5430

概要

NVD と WSO2 のアドバイザリ **WSO2-2026-5328** の記述はこうである。**JWT 認証の仕組みが、設定・サポートされているもの以外のアルゴリズムで署名されたトークンを受け入れてしまう。** 攻撃者はサポート外のアルゴリズムで JWT を作り、それが誤って検証を通ることで不正にアクセスできる。**管理者アカウントの侵害やアカウントの完全な乗っ取りにつながりうる。** **CVSS は 10.0（マルチテナント構成）、シングルテナント構成では 9.8。** WSO2 は、シングルテナントでは影響が1つのセキュリティ境界内にとどまるとしてスコアを分けている。 **CISA は 2026-09-24 に KEV へ収載し、是正期限を 2026-09-27 とした。** 脆弱性自体は 2026-05 に WSO2 が公表し、NVD には 2026-08-06 に登録されていたもので、今回実際の悪用が確認された形である。 **KEV の脆弱性名・説明は NVD・WSO2 と食い違っている点に注意する。** KEV では「Path Traversal（パストラバーサル）」とされ、無制限のファイルアップロードから遠隔コード実行につながると書かれているが、NVD と WSO2 のアドバイザリは JWT 署名検証の不備（CWE-347）としている。当サイトでは CVE の記述の出どころである NVD と WSO2 の記載を本文に採った。どちらの説明であっても、対応（下記の修正の適用）は同じである。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: パッチあり（アプリ更新）参照先も共通です（一次情報）。下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	パッチあり（アプリ更新）	AWS 上で WSO2 API Manager / API Control Plane / Traffic Manager / Universal Gateway を自前で運用している場合、WSO2-2026-5328 の更新レベル（例: API Manager 4.6.0 は U21 以降）を適用する。 AWS 側の対応で直るものではない。更新まで管理コンソールへの到達をセキュリティグループで絞る。参照リンク
GCP	パッチあり（アプリ更新）	Google Cloud 上で WSO2 の該当製品を運用している場合、WSO2-2026-5328 の更新レベルを適用する。コンテナで運用している場合は、更新済みのイメージで作り直す。参照リンク
Azure	パッチあり（アプリ更新）	Azure 上で WSO2 の該当製品を運用している場合、WSO2-2026-5328 の更新レベルを適用する。 NSG / Application Gateway で管理コンソールへの到達を絞る。参照リンク
Linux	パッチあり（アプリ更新）	ディストリのパッケージ更新では直らない。 WSO2 製品（Java アプリケーション）自体の問題で、対応は WUM / U2 による更新レベルの適用である。該当製品と版は API Manager 4.1.0〜4.6.0、API Control Plane / Traffic Manager / Universal Gateway 4.5.0・4.6.0。参照リンク

解決の方向性（パッチ／回避策／代替）

**修正の入った更新レベルを適用する。** WSO2-2026-5328 に示された修正は次のとおり（WUM / U2 の更新レベル）。 - **API Manager**: 4.6.0 は U21、4.5.0 は U57、4.4.0 は U72、4.3.0 は U108、4.2.0 は U197、4.1.0 は U257 以降 - **API Control Plane**: 4.6.0 は U22、4.5.0 は U58 以降 - **Traffic Manager**: 4.6.0 は U21、4.5.0 は U56 以降 - **Universal Gateway**: 4.6.0 は U21、4.5.0 は U57 以降 WSO2 は、公開リポジトリの修正を当てるか、影響を受けない最新版へ移行することも挙げている。 **アドバイザリには、更新以外の回避策（設定での無効化など）は書かれていない。** 更新まで間が空く場合は、管理コンソール（Publisher / Admin / Carbon 等）へのアクセスをネットワークで絞ることが被害範囲を狭める手段になる。 **侵害の確認**: 管理者アカウントの乗っ取りにつながる種類の欠陥なので、更新後も、管理者・テナント管理者の一覧、API の公開設定・サブスクリプションの想定外の変更、最近発行されたトークンやアプリケーションの登録を点検する。公式の侵害指標（IoC）はアドバイザリに載っていない。

よくある質問（CVE-2026-5430）

CVE-2026-5430（WSO2 API Manager 4.1.0〜4.6.0 / API Control Plane 4.5.0・4.6.0 / Traffic Manager 4.5.0・4.6.0 / Universal Gateway 4.5.0・4.6.0）の影響は？

Critical（CVSS 10.0）に分類されるWSO2 WSO2 API Manager 4.1.0〜4.6.0 / API Control Plane 4.5.0・4.6.0 / Traffic Manager 4.5.0・4.6.0 / Universal Gateway 4.5.0・4.6.0の脆弱性です。NVD と WSO2 のアドバイザリ **WSO2-2026-5328** の記述はこうである。**JWT 認証の仕組みが、設定・サポートされているもの以外のアルゴリズムで署名されたトークンを受け入れてしまう。** 攻撃者はサポート外のアルゴリズムで JWT を作り、それが誤って検証を通ることで不正にアクセスできる。**管理者アカウントの侵害やアカウントの完全な乗っ取りにつながりうる。** **CVSS は 10.0（マルチテナント構成）、シングルテナント構成では 9.8。** WSO2 は、シングルテナントでは影響が1つのセキュリティ境界内にとどまるとしてスコアを分けている。 **CISA は 2026-09-24 に KEV へ収載し、是正期限を 2026-09-27 とした。** 脆弱性自体は 2026-05 に WSO2 が公表し、NVD には 2026-08-06 に登録されていたもので、今回実際の悪用が確認された形である。 **KEV の脆弱性名・説明は NVD・WSO2 と食い違っている点に注意する。** KEV では「Path Traversal（パストラバーサル）」とされ、無制限のファイルアップロードから遠隔コード実行につながると書かれているが、NVD と WSO2 のアドバイザリは JWT 署名検証の不備（CWE-347）としている。当サイトでは CVE の記述の出どころである NVD と WSO2 の記載を本文に採った。どちらの説明であっても、対応（下記の修正の適用）は同じである。

CVE-2026-5430 の対応方法・回避策は？

自分の環境が CVE-2026-5430 の影響を受けるか確認するには？

WSO2 WSO2 API Manager 4.1.0〜4.6.0 / API Control Plane 4.5.0・4.6.0 / Traffic Manager 4.5.0・4.6.0 / Universal Gateway 4.5.0・4.6.0 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-5430）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-5430 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/27 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。