2026 年 9 月 24 日，美国网络安全和基础设施安全局（CISA）将 CVE-2026-5430 纳入已知被利用漏洞（KEV）目录。该漏洞位于 WSO2 的 JWT 认证机制中，因服务端接受以不受支持算法签名的令牌，未认证攻击者即可绕过认证并接管管理员账户，CVSS 评分达到 10.0 满分。联邦文职机构被要求在 9 月 27 日前完成修复。
事件概述
WSO2 是广泛用于企业级 API 网关与身份中间件的开源供应商，官方与第三方口径均称其技术被接近 1000 家客户使用，覆盖银行、政府、电信与物流行业。
- 受影响产品：WSO2 API Manager 4.1.0 至 4.6.0；API Control Plane；Traffic Manager；Universal Gateway 4.5.0 与 4.6.0。
- 同批入 KEV 的还有 CVE-2026-71362（Adobe Commerce 授权缺陷，CVSS 9.1），联邦机构需在 9 月 27 日一并于修复。
- CISA 同时把 Microsoft SharePoint 代码注入 CVE-2026-65660 与 MikroTik RouterOS 预认证 SSH 状态机绕过 CVE-2026-67279 列入清单，修复期限为 9 月 28 日。
技术细节
漏洞根因是 JWT 校验逻辑允许算法混淆：服务端未严格限定签名算法，攻击者提交一个使用不受支持算法签名的伪造令牌，校验流程直接放行。WSO2 在 5 月 3 日发布的原始公告中确认，成功利用可导致管理账户被完全接管。
watchTowr 透露，其蜜罐最早在 9 月 13 日就捕获到利用尝试，来自单一 IP 地址，攻击者最初打错了产品变体。研究员随后在正确的目标产品上复现了攻击，伪造令牌可以导出 API 端点与应用凭据。该机构威胁情报主管 Yordan Ganchev 提醒，WSO2 不是小众目标，银行、政府、电信与物流客户不应等到有正式的在野利用确认才动手。
需要说明的是，目前尚未观察到公开的 PoC 利用代码。
影响评估
- 评分：对应 CWE-347 校验签名不当，CVSS 满分 10.0，网络向量、无需权限、无需交互。
- 攻击复杂度低：一次构造好的 HTTP 请求即可完成认证绕过，利用链条中没有需要等待的步骤。
- 实际危害：API Manager 处于企业接口枢纽位置，管理会话被接管往往等同于下游系统凭据与数据一并暴露。
- 时间窗口：从 9 月 13 日蜜罐捕获到 9 月 24 日入 KEV，攻击者已获得至少十天的先行时间。
修复建议
- 订阅客户升级到 4.5.0.57、4.6.0.21、4.5.0.56 等对应产品更新级别，速度优先。
- 开源用户按 WSO2 安全公告中的 pull request 自行合并修复。
- 无法立即升级时，把管理面与 API 端点限制在可信网段，并在网关层拒绝签名算法异常（如 none 或与预期不符算法）的 JWT。
- 检测要点：网关与应用日志中签名算法异常、管理员在异常 IP 或异常时段登录、管理接口在短时间内被批量访问。