Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-347

CVE-2026-5430

WSO2 ürünlerinde JWT algoritma uyuşmazlığıyla kimlik doğrulama atlatma

WSO2 API Control PlaneWSO2 API ManagerWSO2 Carbon API Manager Rest API Utility

Kritik 10,0 CVSS 3.1
Yayımlandı
Güncellendi
25 Eyl 2026
Açık yaşı
83 gün
Kaydı açan
WSO2
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 24 Eyl 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 27 Eyl 2026.

Yönetici özeti

Bu zafiyet, saldırganların geçerli bir parola olmadan yönetici dahil herhangi bir hesabı ele geçirmesine imkân tanıyor ve aktif olarak istismar edildiği bilinmektedir. WSO2 API ürünlerini kullanan kurumlar için iş sürekliliği ve veri güvenliği açısından acil risk oluşturur. Güncellemeler gecikmeden uygulanmalıdır.

ÖzetTürkçe

WSO2 API Manager, Universal Gateway, Traffic Manager, API Control Plane ve Carbon API Manager Rest API Utility bileşenlerinde JWT kimlik doğrulaması, yapılandırılmamış veya desteklenmeyen algoritmalarla imzalanmış token'ları da kabul etmektedir. Saldırgan desteklenmeyen bir algoritmayla hazırladığı JWT'nin hatalı biçimde geçerli sayılmasını sağlayarak yetkisiz erişim elde edebilir. Zafiyet CWE-347 (kriptografik imzanın yetersiz doğrulanması) kapsamındadır ve etkilenen sürümler ürüne göre değişir. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesine eklenmiştir.

Saldırgan ne yapabilir?

Kimliği doğrulanmamış uzak bir saldırgan yönetici hesapları dahil hesapları ele geçirebilir ve sisteme yetkisiz tam erişim sağlayabilir. Bu durum gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratır.

Kaynaktaki açıklama (İngilizce)

The JWT authentication mechanism accepts tokens signed with algorithms other than those explicitly configured or supported. This allows an attacker to craft a JWT with an unsupported algorithm, which is then incorrectly validated, leading to unauthorized access.

Successful exploitation of this vulnerability may result in unauthorized access to the system, including the potential compromise of administrative accounts and full account takeover. The CVSS score is adjusted to 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) in single-tenant deployments, reflecting that the impact is contained within a single security authority boundary.

Üreticinin çözüm notu (İngilizce)

Follow the instructions given on https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2026-5328/#solution https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2026-5328/#solution

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. Üretici duyurusundaki çözüm talimatlarını izleyin ve ürününüzü düzeltilmiş sürüme yükseltin: API Manager için 4.1.0.257, 4.2.0.197, 4.3.0.108, 4.4.0.72, 4.5.0.57 veya 4.6.0.21; Universal Gateway için 4.5.0.57 veya 4.6.0.21; Traffic Manager için 4.5.0.56 veya 4.6.0.21; API Control Plane için 4.5.0.58 veya 4.6.0.22. Üretici
  2. Carbon API Manager Rest API Utility kullanıyorsanız sürümünüze karşılık gelen düzeltilmiş sürüme geçin: 9.20.74.401, 9.28.116.417, 9.29.120.236, 9.30.67.167, 9.31.86.158 veya 9.32.147.59. 9.33.106 ve üzeri sürümler etkilenmemektedir. Üretici
  3. CISA gereği üretici talimatlarına uygun şekilde azaltım önlemlerini uygulayın, BOD 26-04 ve adli bilişim ön inceleme (forensics triage) gereksinimlerine uyun; her varlığın internete açıklık durumunu değerlendirin. Azaltım önlemleri uygulanamıyorsa ürünün kullanımını durdurun. CISA
  4. Yama uygulanana kadar etkilenen sistemlere internetten erişimi güvenlik duvarı veya ağ kısıtlamalarıyla sınırlandırın. Genel öneri

Ek önlemler

  • Yama öncesi döneme ait kimlik doğrulama ve erişim günlüklerini inceleyin; olağandışı yönetici oturumlarını ve beklenmeyen token kullanımını araştırın. Genel öneri
  • Sistemin ele geçirilmiş olabileceği ihtimaline karşı yönetici hesaplarının parolalarını, API anahtarlarını ve imzalama anahtarlarını yenileyin. Genel öneri
  • Yönetim arayüzlerini ve API uç noktalarını yalnızca güvenilir ağlara açın, mümkünse VPN arkasında tutun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler5 yazılım

YazılımEtkilenenDüzeltildiği sürüm
WSO2 API Control Plane ≥ 4.5.0, < 4.5.0.58 4.5.0.58
≥ 4.6.0, < 4.6.0.22 4.6.0.22
WSO2 API Manager < 4.1.0 Bilinmiyor –
≥ 4.1.0, < 4.1.0.257 4.1.0.257
≥ 4.2.0, < 4.2.0.197 4.2.0.197
≥ 4.3.0, < 4.3.0.108 4.3.0.108
≥ 4.4.0, < 4.4.0.72 4.4.0.72
≥ 4.5.0, < 4.5.0.57 4.5.0.57
≥ 4.6.0, < 4.6.0.21 4.6.0.21
WSO2 Carbon API Manager Rest API Utility ≥ 9.20.74, < 9.20.74.401 9.20.74.401
≥ 9.28.116, < 9.28.116.417 9.28.116.417
≥ 9.29.120, < 9.29.120.236 9.29.120.236

ve 8 satır daha

Kaynaklar3 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.